SSH ProxyCommand ir autentifikacija pagal hostą: kuris hostas pasirašo?

Atskirkite TCP srauto perdavimą per bastioną nuo antro SSH kliento paleidimo ten, kai dalyvauja autentifikacija pagal hostą.

Tikslas mato TCP ryšį, ateinantį iš bastiono, o autentifikaciją atliekantis SSH klientas vis dar veikia darbo stotyje.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Čia pagalbinė programa prisijungia prie bastiono ir prašo jo SSH serverio persiųsto ryšio į tikslą. Išorinis darbo stoties SSH klientas per tą srautą keičiasi tikslo SSH protokolu. Bastionas teikia transportą; jis nepaleido į tikslą nukreipto SSH kliento.

Šis skirtumas svarbus autentifikacijai pagal hostą. OpenSSH ssh-keysign pagalbinė programa pasiekia vietinius hosto raktus, kad sukurtų reikiamą parašą. Tinklo šaltinio adresas, priklausantis bastionui, nepriverčia darbo stoties pasirašyti bastiono hosto raktu.

Palyginkite su:

ssh -t bastion ssh target

Tai paleidžia kitą SSH programą bastione. Jos vietinė konfigūracija ir turimi hosto raktai priklauso tam kompiuteriui, todėl ji gali dalyvauti jau sukonfigūruotame pagal hostą pagrįstame pasitikėjimo susitarime tarp bastiono ir tikslo. Jai vis dar reikia atitinkamo tikslo leidimo ir vardo patikrinimų.

Antroji forma taip pat keičia sesijos veikimą: ji vykdo nuotolinę komandą ir naudoja terminalą. Tai nėra skaidrus pakaitalas kiekvienam SSH failų perdavimui ar automatizavimo transportui. Pasirinkite sprendimą pagal tai, kuris kompiuteris turi autentifikuotis prieš tikslą, o ne silpninkite serverio pasitikėjimo patikras, kad šaltinio adresas atrodytų pakankamas.

Susiję straipsniai