SSH ProxyCommand և հոսթի վրա հիմնված նույնականացում․ ո՞ր հոսթն է ստորագրում

Թիրախը տեսնում է բաստիոնից եկող TCP կապակցում, մինչդեռ նույնականացումը կատարող SSH հաճախորդը դեռ աշխատում է աշխատանքային կայանում։

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Այստեղ օժանդակը մուտք է գործում բաստիոն և նրա SSH սերվերից խնդրում է փոխանցված կապակցում դեպի թիրախ։ Աշխատանքային կայանի արտաքին SSH հաճախորդը այդ հոսքի միջով փոխանակում է թիրախի SSH արձանագրությունը։ Բաստիոնը ապահովում է տեղափոխումը, այն չի սկսել թիրախին ուղղված SSH հաճախորդը։

Այդ տարբերությունը կարևոր է հոսթի վրա հիմնված նույնականացման համար։ OpenSSH-ի ssh-keysign օժանդակը դիմում է տեղական հոսթի բանալիներին՝ պահանջվող ստորագրությունը ստեղծելու համար։ Բաստիոնին պատկանող ցանցային աղբյուրի հասցեն չի ստիպում աշխատանքային կայանին ստորագրել բաստիոնի հոսթի բանալիով։

Համեմատեք սա հետևյալի հետ․

ssh -t bastion ssh target

Սա բաստիոնում սկսում է մեկ այլ SSH ծրագիր։ Նրա տեղական կազմաձևը և հասանելի հոսթի բանալիները պատկանում են այդ մեքենային, ուստի այն կարող է մասնակցել բաստիոնից թիրախ արդեն կարգավորված հոսթի վրա հիմնված վստահության պայմանավորվածությանը։ Այն դեռ պահանջում է թիրախի համապատասխան լիազորում և անվան ստուգումներ։

Երկրորդ ձևը նաև փոխում է, թե ինչպես է աշխատում սեսիան․ այն կատարում է հեռավոր հրաման և օգտագործում տերմինալ։ Դա թափանցիկ փոխարինում չէ յուրաքանչյուր SSH ֆայլի փոխանցման կամ ավտոմատացման տրանսպորտի համար։ Ընտրեք պայմանավորվածությունը՝ ըստ այն բանի, թե որ մեքենան պետք է նույնականացվի թիրախի առջև, ոչ թե թուլացրեք սերվերի վստահության ստուգումները, որպեսզի աղբյուրի հասցեն բավարար թվա։