SSH ProxyCommand e autenticación baseada no host: que host asina?

Un destino ve unha conexión TCP que chega desde o bastión mentres o cliente SSH que realiza a autenticación segue executándose na estación de traballo.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Aquí o auxiliar inicia sesión no bastión e pide ao seu servidor SSH unha conexión reenviada cara ao destino. O cliente SSH externo da estación intercambia o protocolo SSH do destino a través dese fluxo. O bastión achega o transporte; non iniciou o cliente SSH dirixido ao destino.

Esa distinción importa para a autenticación baseada no host. O auxiliar ssh-keysign de OpenSSH accede ás claves de host locais para xerar a sinatura necesaria. Un enderezo de orixe de rede que pertence ao bastión non fai que a estación asine coa clave de host do bastión.

Compare isto con:

ssh -t bastion ssh target

Isto inicia outro programa SSH no bastión. A súa configuración local e as claves de host dispoñibles pertencen a esa máquina, así que pode participar nun acordo de confianza baseado no host xa configurado entre o bastión e o destino. Aínda necesita a autorización correspondente e as comprobacións de nome do destino.

A segunda forma tamén cambia o funcionamento da sesión: executa unha orde remota e usa un terminal. Non é un substituto transparente para toda transferencia de ficheiros SSH ou transporte de automatización. Escolla a opción segundo que máquina debe autenticarse ante o destino, en lugar de debilitar as comprobacións de confianza do servidor para que o enderezo de orixe pareza suficiente.