SSH ProxyCommand dan autentikasi berbasis host: host mana yang menandatangani?

Target dapat melihat koneksi TCP yang datang dari bastion sementara klien SSH yang melakukan autentikasi masih berjalan di workstation.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Di sini pembantu masuk ke bastion dan meminta server SSH-nya menyediakan koneksi yang diteruskan ke target. Klien SSH luar workstation menukar protokol SSH target melalui aliran itu. Bastion menyediakan transportasi; ia tidak memulai klien SSH yang menghadap target.

Perbedaan itu penting untuk autentikasi berbasis host. Pembantu ssh-keysign OpenSSH mengakses kunci host lokal untuk menghasilkan tanda tangan yang diperlukan. Alamat sumber jaringan milik bastion tidak membuat workstation menandatangani dengan kunci host bastion.

Bandingkan dengan:

ssh -t bastion ssh target

Ini memulai program SSH lain di bastion. Konfigurasi lokal dan kunci host yang tersedia milik mesin itu, sehingga ia dapat berpartisipasi dalam pengaturan kepercayaan berbasis host yang sudah dikonfigurasi antara bastion dan target. Ia masih memerlukan otorisasi yang sesuai dan pemeriksaan nama dari target.

Bentuk kedua juga mengubah cara sesi bekerja: ia menjalankan perintah jarak jauh dan menggunakan terminal. Itu bukan pengganti transparan untuk setiap transfer file SSH atau transport otomatisasi. Pilih pengaturan menurut mesin mana yang seharusnya mengautentikasi ke target, alih-alih melemahkan pemeriksaan kepercayaan server agar alamat sumber tampak memadai.