SSH ProxyCommand dan pengesahan berasaskan hos: hos mana yang menandatangani?

Sasaran boleh melihat sambungan TCP yang datang dari bastion manakala klien SSH yang melakukan pengesahan masih berjalan pada stesen kerja.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Di sini pembantu log masuk ke bastion dan meminta pelayan SSH-nya menyediakan sambungan yang dihantar ke sasaran. Klien SSH luar stesen kerja menukar protokol SSH sasaran melalui aliran itu. Bastion menyediakan pengangkutan; ia tidak memulakan klien SSH yang menghadap sasaran.

Perbezaan itu penting untuk pengesahan berasaskan hos. Pembantu ssh-keysign OpenSSH mengakses kunci hos setempat untuk menjana tandatangan yang diperlukan. Alamat sumber rangkaian milik bastion tidak menyebabkan stesen kerja menandatangani dengan kunci hos bastion.

Bandingkan dengan:

ssh -t bastion ssh target

Ini memulakan program SSH lain pada bastion. Konfigurasi setempat dan kunci hos yang tersedia milik mesin itu, jadi ia boleh menyertai aturan kepercayaan berasaskan hos yang sudah dikonfigurasi antara bastion dan sasaran. Ia masih memerlukan kebenaran yang sepadan dan pemeriksaan nama daripada sasaran.

Bentuk kedua juga mengubah cara sesi berfungsi: ia menjalankan arahan jauh dan menggunakan terminal. Ia bukan pengganti telus untuk setiap pemindahan fail SSH atau pengangkutan automasi. Pilih aturan mengikut mesin mana yang sepatutnya mengesahkan kepada sasaran, bukannya melemahkan pemeriksaan kepercayaan pelayan supaya alamat sumber kelihatan mencukupi.