SSH ProxyCommand және хостқа негізделген аутентификация: қай хост қол қояды?

TCP ағынын бастион арқылы өткізуді сол жерде екінші SSH клиентін іске қосудан ажыратыңыз, егер хостқа негізделген аутентификация қатысса.

Мақсат бастионнан келетін TCP қосылымын көреді, ал аутентификацияны орындайтын SSH клиенті әлі де жұмыс станциясында жұмыс істеп тұр.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Мұнда көмекші бастионға кіреді және оның SSH серверінен мақсатқа жіберілген қосылымды сұрайды. Жұмыс станциясының сыртқы SSH клиенті сол ағыс арқылы мақсаттың SSH протоколын алмасады. Бастион тасымалды қамтамасыз етеді; ол мақсатқа бағытталған SSH клиентін іске қоспаған.

Бұл айырмашылық хостқа негізделген аутентификация үшін маңызды. OpenSSH-тің ssh-keysign көмекшісі қажетті қолтаңбаны жасау үшін жергілікті хост кілттеріне жүгінеді. Бастионға тиесілі желілік бастау мекенжайы жұмыс станциясын бастионның хост кілтімен қол қоюға мәжбүрлемейді.

Мұны мынамен салыстырыңыз:

ssh -t bastion ssh target

Бұл бастионда басқа SSH бағдарламасын іске қосады. Оның жергілікті конфигурациясы мен қолжетімді хост кілттері сол машинаға тиесілі, сондықтан ол бастионнан мақсатқа дейінгі бұрыннан бапталған хостқа негізделген сенім келісіміне қатыса алады. Оған әлі де мақсаттың тиісті рұқсаты мен атауын тексеру қажет.

Екінші нысан сессияның жұмысын да өзгертеді: ол қашықтағы команданы орындайды және терминалды пайдаланады. Ол әрбір SSH файл тасымалы немесе автоматтандыру тасымалы үшін мөлдір балама емес. Бастау мекенжайы жеткілікті көрінуі үшін сервердің сенім тексерістерін әлсіретудің орнына, қай машина мақсат алдында аутентификация жасауы керектігіне қарай конфигурацияны таңдаңыз.

Қатысты мақалалар