SSH ProxyCommand an Host-baséiert Authentifikatioun: ween Host ënnerschreift?

En Zil gesäit eng TCP-Verbindung, déi vun der Bastioun kënnt, während den SSH-Client, deen d'Authentifikatioun mécht, nach op der Aarbechtsstatioun leeft.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Hei mellt sech den Hëllefsprogramm op der Bastioun un a freet hire SSH-Server ëm eng weidergeleet Verbindung zum Zil. Den äusseren SSH-Client vun der Aarbechtsstatioun austauscht dem Zil säin SSH-Protokoll duerch dee Stroum. D'Bastioun liwwert den Transport; si huet den SSH-Client Richtung Zil net gestart.

Dësen Ënnerscheed ass wichteg fir Host-baséiert Authentifikatioun. Den ssh-keysign-Hëllefsprogramm vun OpenSSH gräift op lokal Hostschlësselen zou, fir déi noutwendeg Ënnerschrëft ze generéieren. Eng Netzwierkquelladress, déi der Bastioun gehéiert, mécht net, datt d'Aarbechtsstatioun mam Hostschlëssel vun der Bastioun ënnerschreift.

Vergläicht dat mat:

ssh -t bastion ssh target

Dëst startet en anert SSH-Programm op der Bastioun. Seng lokal Konfiguratioun an déi verfügbar Hostschlësselen gehéieren zu där Maschinn, dofir kann et un enger schonn ageriichter Host-baséierter Vertrauensarrangement tëschent Bastioun an Zil deelhuelen. Et brauch awer nach déi entspriechend Autorisatioun an Nummkontrollen vum Zil.

Déi zweet Form ännert och wéi d'Sessioun funktionéiert: si féiert en entfernten Befehl aus a benotzt en Terminal. Si ass keng transparent Ersatzléisung fir all SSH-Dateitransfer oder Automatiséierungstransport. Wielt d'Arrangement no deem Maschinn, déi sech beim Zil authentifizéiere soll, amplaz d'Vertrauensprüfunge vum Server ofzeschwächen, sou datt d'Quelladress genügend erschéngt.