SSH ProxyCommand i autentikacija zasnovana na hostu: koji host potpisuje?

Razlikujte prosljeđivanje TCP toka kroz bastion od pokretanja drugog SSH klijenta tamo kada je uključena autentikacija zasnovana na hostu.

Cilj vidi TCP vezu koja dolazi s bastiona, dok SSH klijent koji obavlja autentikaciju još radi na radnoj stanici.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Ovdje se pomoćnik prijavljuje na bastion i traži od njegova SSH poslužitelja proslijeđenu vezu prema cilju. Vanjski SSH klijent radne stanice razmjenjuje SSH protokol cilja kroz taj tok. Bastion pruža prijenos; nije pokrenuo SSH klijent prema cilju.

Ta je razlika važna za autentikaciju zasnovanu na hostu. OpenSSH-ov pomoćnik ssh-keysign pristupa lokalnim ključevima hosta radi stvaranja traženog potpisa. Mrežna izvorna adresa koja pripada bastionu ne čini da radna stanica potpisuje ključem hosta bastiona.

Usporedite to s:

ssh -t bastion ssh target

Ovo pokreće drugi SSH program na bastionu. Njegova lokalna konfiguracija i dostupni ključevi hosta pripadaju tom stroju, pa može sudjelovati u već postavljenom aranžmanu povjerenja zasnovanom na hostu između bastiona i cilja. Još mu treba odgovarajuća autorizacija i provjere imena na cilju.

Drugi oblik mijenja i način rada sesije: izvršava udaljenu naredbu i koristi terminal. Nije prozirna zamjena za svaki SSH prijenos datoteka ili transport automatizacije. Odaberite aranžman prema tome koji se stroj treba autentificirati prema cilju, umjesto da slabite provjere povjerenja poslužitelja kako bi izvorna adresa izgledala dovoljna.

Povezani članci