SSH ProxyCommand og hýsilbundin auðkenning: hvaða hýsill undirritar?

Skotmark sér TCP-tengingu sem kemur frá bastioninu á meðan SSH-biðlarinn sem framkvæmir auðkenninguna keyrir enn á vinnustöðinni.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Hér skráir hjálparinn sig inn á bastionið og biður SSH-þjóninn sinn um framsenda tengingu við skotmarkið. Ytri SSH-biðlari vinnustöðvarinnar skiptist á SSH-samskiptareglum skotmarksins í gegnum þessa streymi. Bastionið sér um flutninginn; það hefur ekki ræst SSH-biðlarann sem snýr að skotmarkinu.

Sá greinarmunur skiptir máli fyrir hýsilbundna auðkenningu. ssh-keysign-hjálparinn í OpenSSH nálgast staðbundna hýsillykla til að búa til nauðsynlega undirskrift. Netkerfisheimildaraddressa sem tilheyrir bastioninu lætur vinnustöðina ekki undirrita með hýsillykli bastionsins.

Berðu þetta saman við:

ssh -t bastion ssh target

Þetta ræsir annað SSH-forrit á bastioninu. Staðbundin stilling þess og tiltækir hýsillyklar tilheyra þeirri vél, svo það getur tekið þátt í þegar uppsettri hýsilbundinni traustsskipan milli bastions og skotmarks. Það þarf samt sem áður samsvarandi heimild og nafnaprófanir skotmarksins.

Seinna formið breytir líka hvernig lotan virkar: það keyrir fjartengda skipun og notar endastöð. Það er ekki gagnsæ staðgengil fyrir hverja SSH-skráarflutning eða sjálfvirkniflutning. Veldu fyrirkomulagið eftir því hvaða vél á að auðkenna sig gagnvart skotmarkinu, í stað þess að veikja traustsprófanir þjónsins svo heimildaraddressan virðist nægjanleg.