SSH ProxyCommand и автентикација заснована на домаќин: кој домаќин потпишува?

Разликувајте препраќање на TCP тек низ бастион од стартување втор SSH клиент таму кога е вклучена автентикација заснована на домаќин.

Целта гледа TCP врска што доаѓа од бастионот, додека SSH клиентот што ја врши автентикацијата сè уште работи на работната станица.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Овде помошникот се најавува на бастионот и бара од неговиот SSH сервер препратена врска до целта. Надворешниот SSH клиент на работната станица го разменува SSH протоколот на целта низ тој тек. Бастионот го обезбедува преносот; тој не го стартувал SSH клиентот насочен кон целта.

Таа разлика е важна за автентикација заснована на домаќин. Помошникот ssh-keysign на OpenSSH пристапува до локалните клучеви на домаќинот за да го создаде потребниот потпис. Мрежната изворна адреса што му припаѓа на бастионот не прави работната станица да потпишува со клучот на домаќинот на бастионот.

Споредете го ова со:

ssh -t bastion ssh target

Ова стартува друга SSH програма на бастионот. Нејзината локална конфигурација и достапните клучеви на домаќинот и припаѓаат на таа машина, па може да учествува во веќе поставена доверба заснована на домаќин меѓу бастионот и целта. Сè уште и треба соодветна авторизација и проверки на името од целта.

Вториот облик го менува и работењето на сесијата: извршува далечинска наредба и користи терминал. Тоа не е транспарентна замена за секој SSH пренос на датотеки или транспорт за автоматизација. Изберете го распоредот според тоа која машина треба да се автентицира пред целта, наместо да ги слабеете проверките на довербата на серверот за изворната адреса да изгледа доволна.

Поврзани статии