SSH ProxyCommand i autentifikacija zasnovana na hostu: koji host potpisuje?

Razlikujte prosljeđivanje TCP toka kroz bastion od pokretanja drugog SSH klijenta tamo kada je uključena autentifikacija zasnovana na hostu.

Cilj vidi TCP vezu koja dolazi s bastiona, dok SSH klijent koji obavlja autentifikaciju još radi na radnoj stanici.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Ovdje se pomoćnik prijavljuje na bastion i traži od njegovog SSH servera proslijeđenu vezu prema cilju. Vanjski SSH klijent radne stanice razmjenjuje SSH protokol cilja kroz taj tok. Bastion pruža transport; nije pokrenuo SSH klijent prema cilju.

Ta razlika je važna za autentifikaciju zasnovanu na hostu. OpenSSH-ov pomoćnik ssh-keysign pristupa lokalnim ključevima hosta radi stvaranja traženog potpisa. Mrežna izvorna adresa koja pripada bastionu ne čini da radna stanica potpisuje ključem hosta bastiona.

Uporedite to sa:

ssh -t bastion ssh target

Ovo pokreće drugi SSH program na bastionu. Njegova lokalna konfiguracija i dostupni ključevi hosta pripadaju tom računaru, pa može učestvovati u već podešenom aranžmanu povjerenja zasnovanom na hostu između bastiona i cilja. Još mu je potrebna odgovarajuća autorizacija i provjere imena na cilju.

Drugi oblik mijenja i način rada sesije: izvršava udaljenu komandu i koristi terminal. Nije transparentna zamjena za svaki SSH prijenos datoteka ili transport automatizacije. Odaberite aranžman prema tome koja mašina treba da se autentifikuje na cilju, umjesto da slabite provjere povjerenja servera kako bi izvorna adresa izgledala dovoljna.

Povezani članci