SSH ProxyCommand un ar saimnieku saistīta autentifikācija: kurš saimnieks paraksta?

Atšķiriet TCP plūsmas pārsūtīšanu caur bastionu no otra SSH klienta palaišanas tur, ja ir iesaistīta ar saimnieku saistīta autentifikācija.

Mērķis redz TCP savienojumu, kas nāk no bastiona, kamēr autentifikāciju veicošais SSH klients joprojām darbojas darbstacijā.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Šeit palīgs piesakās bastionā un lūdz tā SSH serverim pārsūtītu savienojumu uz mērķi. Darbstacijas ārējais SSH klients apmainās ar mērķa SSH protokolu šajā plūsmā. Bastions nodrošina transportu; tas nav palaidis uz mērķi vērsto SSH klientu.

Šī atšķirība ir svarīga ar saimnieku saistītai autentifikācijai. OpenSSH ssh-keysign palīgs piekļūst vietējām saimnieka atslēgām, lai ģenerētu nepieciešamo parakstu. Tīkla avota adrese, kas pieder bastionam, nepanāk, ka darbstacija paraksta ar bastiona saimnieka atslēgu.

Salīdziniet ar:

ssh -t bastion ssh target

Šis palaiž citu SSH programmu bastionā. Tās vietējā konfigurācija un pieejamās saimnieka atslēgas pieder šai mašīnai, tāpēc tā var piedalīties jau iestatītā ar saimnieku saistītā uzticības kārtībā starp bastionu un mērķi. Tai joprojām vajadzīga atbilstoša mērķa autorizācija un nosaukuma pārbaudes.

Otrā forma maina arī sesijas darbību: tā izpilda attālinātu komandu un izmanto termināli. Tā nav caurspīdīgs aizstājējs katrai SSH failu pārsūtīšanai vai automatizācijas transportam. Izvēlieties kārtību pēc tā, kurai mašīnai jāautentificējas mērķa priekšā, nevis vājiniet servera uzticības pārbaudes, lai avota adrese izskatītos pietiekama.

Saistītie raksti