SSH ProxyCommand és gazdaalapú hitelesítés: melyik gazda ír alá?

A cél egy TCP-kapcsolatot lát, amely az átjárótól érkezik, miközben a hitelesítést végző SSH-kliens továbbra is a munkaállomáson fut.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Itt a segéd bejelentkezik az átjáróra, és továbbított kapcsolatot kér az SSH-kiszolgálójától a cél felé. A munkaállomás külső SSH-kliense ezen a folyamon keresztül váltja a cél SSH-protokollját. Az átjáró biztosítja a szállítást; nem indította el a cél felé néző SSH-klienst.

Ez a különbség fontos a gazdaalapú hitelesítésnél. Az OpenSSH ssh-keysign segédje a helyi gazdakulcsokhoz fér hozzá a szükséges aláírás előállításához. Az, hogy a hálózati forrás cím az átjáróhoz tartozik, nem készteti a munkaállomást arra, hogy az átjáró gazdakulcsával írjon alá.

Hasonlítsa össze ezzel:

ssh -t bastion ssh target

Ez egy másik SSH-programot indít az átjárón. Helyi konfigurációja és elérhető gazdakulcsai ahhoz a géphez tartoznak, így részt vehet egy már beállított, gazdaalapú bizalmi megállapodásban az átjáró és a cél között. Továbbra is szüksége van a cél megfelelő engedélyezésére és névellenőrzéseire.

A második forma a munkamenet működését is megváltoztatja: távoli parancsot futtat és terminált használ. Nem átlátszó helyettesítője minden SSH-fájlátvitelnek vagy automatizálási szállításnak. Azt válassza, hogy melyik gépnek kell hitelesítenie a cél felé, ahelyett hogy a kiszolgáló bizalmi ellenőrzéseit gyengítené, hogy a forráscím elegendőnek tűnjön.