SSH ProxyCommand ואימות מבוסס מארח: איזה מארח חותם?

היעד רואה חיבור TCP שמגיע מה-bastion בעוד לקוח ה-SSH שמבצע את האימות עדיין פועל בתחנת העבודה.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

כאן המתגבר מתחבר ל-bastion ומבקש משרת ה-SSH שלו חיבור מועבר אל היעד. לקוח ה-SSH החיצוני של תחנת העבודה מחליף את פרוטוקול ה-SSH של היעד דרך הזרם הזה. ה-bastion מספק את התעבורה; הוא לא הפעיל את לקוח ה-SSH שפונה אל היעד.

ההבחנה הזו חשובה לאימות מבוסס מארח. עוזר ה-ssh-keysign של OpenSSH ניגש למפתחות המארח המקומיים כדי ליצור את החתימה הנדרשת. כתובת מקור ברשת ששייכת ל-bastion אינה גורמת לתחנת העבודה לחתום במפתח המארח של ה-bastion.

השוו לכך:

ssh -t bastion ssh target

זה מפעיל תוכנית SSH נוספת על ה-bastion. התצורה המקומית שלו ומפתחות המארח הזמינים שייכים לאותה מכונה, ולכן הוא יכול להשתתף בהסדר אמון מבוסס מארח שכבר הוגדר בין ה-bastion ליעד. הוא עדיין זקוק להרשאה המתאימה ולבדיקות השם של היעד.

הצורה השנייה משנה גם את אופן פעולת הסשן: היא מריצה פקודה מרוחקת ומשתמשת במסוף. היא אינה תחליף שקוף לכל העברת קבצים ב-SSH או לתעבורת אוטומציה. בחרו את ההסדר לפי איזו מכונה צריכה לאמת מול היעד, במקום להחליש את בדיקות האמון של השרת כדי שכתובת המקור תיראה מספקת.