SSH ProxyCommand ແລະການພິສູດຕົວຕົນແບບອີງໃສ່ໂຮສ: ໂຮສໃດເປັນຜູ້ລົງລາຍເຊັນ?

ເປົ້າໝາຍສາມາດເຫັນການເຊື່ອມຕໍ່ TCP ທີ່ມາຈາກ bastion ໃນຂະນະທີ່ SSH client ທີ່ເຮັດການພິສູດຕົວຕົນຍັງແລ່ນຢູ່ເທິງ workstation.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

ຢູ່ນີ້ ຕົວຊ່ວຍຈະເຂົ້າສູ່ bastion ແລະ ຂໍໃຫ້ SSH server ຂອງມັນສະໜອງການເຊື່ອມຕໍ່ທີ່ສົ່ງຕໍ່ໄປຫາເປົ້າໝາຍ. SSH client ຊັ້ນນອກຂອງ workstation ແລກປ່ຽນໂປຣໂຕຄອນ SSH ຂອງເປົ້າໝາຍຜ່ານ stream ນັ້ນ. bastion ສະໜອງການຂົນສົ່ງ; ມັນບໍ່ໄດ້ເລີ່ມ SSH client ທີ່ຫັນໜ້າໄປຫາເປົ້າໝາຍ.

ຄວາມແຕກຕ່າງນີ້ສຳຄັນຕໍ່ການພິສູດຕົວຕົນແບບອີງໃສ່ໂຮສ. ຕົວຊ່ວຍ ssh-keysign ຂອງ OpenSSH ເຂົ້າເຖິງກະແຈໂຮສທ້ອງຖິ່ນເພື່ອສ້າງລາຍເຊັນທີ່ຕ້ອງການ. ການເປັນທີ່ຢູ່ຕົ້ນທາງເຄືອຂ່າຍຂອງ bastion ບໍ່ໄດ້ເຮັດໃຫ້ workstation ລົງລາຍເຊັນດ້ວຍກະແຈໂຮສຂອງ bastion.

ປຽບທຽບກັບ:

ssh -t bastion ssh target

ອັນນີ້ເລີ່ມໂປຣແກຣມ SSH ອີກອັນໜຶ່ງເທິງ bastion. ການຕັ້ງຄ່າທ້ອງຖິ່ນ ແລະ ກະແຈໂຮສທີ່ມີຢູ່ເປັນຂອງເຄື່ອງນັ້ນ ດັ່ງນັ້ນມັນຈຶ່ງສາມາດເຂົ້າຮ່ວມໃນຂໍ້ຕົກລົງຄວາມໄວ້ໃຈແບບອີງໃສ່ໂຮສລະຫວ່າງ bastion ກັບເປົ້າໝາຍທີ່ຕັ້ງຄ່າໄວ້ແລ້ວ. ມັນຍັງຕ້ອງການການອະນຸຍາດ ແລະ ການກວດຊື່ທີ່ສອດຄ່ອງຈາກເປົ້າໝາຍ.

ຮູບແບບທີສອງຍັງປ່ຽນວິທີການເຮັດວຽກຂອງ session: ມັນຮັນຄຳສັ່ງຈາກທາງໄກ ແລະ ໃຊ້ terminal. ມັນບໍ່ແມ່ນການທົດແທນແບບໂປ່ງໃສສຳລັບການສົ່ງໄຟລ໌ SSH ຫຼື ການຂົນສົ່ງແບບອັດຕະໂນມັດທຸກຢ່າງ. ເລືອກການຈັດວາງຕາມເຄື່ອງທີ່ຄວນພິສູດຕົວຕົນກັບເປົ້າໝາຍ ແທນທີ່ຈະຫຼຸດຜ່ອນການກວດຄວາມໄວ້ໃຈຂອງເຊີບເວີໃຫ້ທີ່ຢູ່ຕົ້ນທາງເບິ່ງຄືພຽງພໍ.