SSH ProxyCommand og vertsbasert autentisering: kva vert signerer?

Skil mellom å videresenda ein TCP-straums gjennom ein bastion og å starta ein ekstra SSH-klient der når vertsbasert autentisering er involvert.

Eit mål ser ei TCP-tilkopling som kjem frå bastionen, medan SSH-klienten som gjer autentiseringa framleis køyrer på arbeidsstasjonen.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Her loggar hjelparen inn på bastionen og ber SSH-tenaren der om ei videresend tilkopling til målet. Den ytre SSH-klienten på arbeidsstasjonen utvekslar SSH-protokollen til målet gjennom denne straumen. Bastionen leverer transporten; han har ikkje starta den målretta SSH-klienten.

Denne skilnaden er viktig for vertsbasert autentisering. ssh-keysign-hjelparen i OpenSSH får tilgang til lokale vertsnøklar for å laga den nødvendige signaturen. Ei netverkskjeldeadresse som høyrer til bastionen gjer ikkje at arbeidsstasjonen signerer med vertsnøkkelen til bastionen.

Samanlikn med:

ssh -t bastion ssh target

Dette startar eit anna SSH-program på bastionen. Den lokale konfigurasjonen og dei tilgjengelege vertsnøklane høyrer til den maskinen, så det kan delta i ei allereie konfigurert vertsbasert tillitsordning mellom bastionen og målet. Det treng framleis den tilsvarande autorisasjonen og namnekontrollane til målet.

Den andre forma endrar òg korleis økta fungerer: ho køyrer ein fjernkommando og brukar ein terminal. Ho er ikkje ei gjennomsiktig erstatning for kvar SSH-filoverføring eller automatiseringstransport. Vel ordninga etter kva maskin som skal autentisera mot målet, i staden for å svekkja tillitskontrollane til tenaren slik at kjeldeadressa verkar tilstrekkeleg.

Relaterte artiklar