SSH ProxyCommand og vertsbasert autentisering: hvilken vert signerer?

Skill mellom å videresende en TCP-strøm gjennom en bastion og å starte en ekstra SSH-klient der når vertsbasert autentisering er involvert.

Et mål ser en TCP-tilkobling som kommer fra bastionen, mens SSH-klienten som utfører autentiseringen fortsatt kjører på arbeidsstasjonen.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Her logger hjelperen inn på bastionen og ber SSH-tjeneren der om en videresendt tilkobling til målet. Arbeidsstasjonens ytre SSH-klient utveksler målets SSH-protokoll gjennom denne strømmen. Bastionen leverer transporten; den har ikke startet den målrettede SSH-klienten.

Denne forskjellen er viktig for vertsbasert autentisering. OpenSSHs ssh-keysign-hjelper får tilgang til lokale vertsnøkler for å generere den nødvendige signaturen. En nettverkskildeadresse som tilhører bastionen gjør ikke at arbeidsstasjonen signerer med bastionens vertsnøkkel.

Sammenlign med:

ssh -t bastion ssh target

Dette starter et annet SSH-program på bastionen. Dets lokale konfigurasjon og tilgjengelige vertsnøkler tilhører den maskinen, så det kan delta i en allerede konfigurert vertsbasert tillitsordning mellom bastionen og målet. Det trenger fortsatt målets tilsvarende autorisasjon og navnekontroller.

Den andre formen endrer også hvordan økten fungerer: den kjører en fjernkommando og bruker en terminal. Den er ikke en gjennomsiktig erstatning for enhver SSH-filoverføring eller automatiseringstransport. Velg ordningen etter hvilken maskin som skal autentisere mot målet, i stedet for å svekke tjenerens tillitskontroller slik at kildeadressen virker tilstrekkelig.

Relaterte artikler