Skenovanie SSH kľúča cez existujúci proxy relay

Zhromažďujte kandidátske kľúče hostiteľov cez lokálny TCP relay a zachovajte pritom rozdiel medzi označením relay a skutočným SSH hostiteľom.

ssh-keyscan neprijíma voľbu ProxyCommand z SSH. Proxy nakonfigurované pre ssh preto automaticky nenastaví samostatný skener.

Jedným riešením je už vytvorený lokálny TCP relay, ktorý vykoná potrebnú autentifikáciu proxy a výmenu CONNECT a potom sprístupní bajtový tok zamýšľaného SSH servera. Ak tento relay počúva na 127.0.0.1:2222:

ssh-keyscan -p 2222 127.0.0.1 > candidate.keys
ssh-keygen -lf candidate.keys

Prvý príkaz zhromažďuje kandidátske kľúče, druhý zobrazuje ich odtlačky. Relay musí prepustiť tok SSH až po spotrebovaní celej odpovede proxy, namiesto toho, aby skeneru odovzdal hlavičky HTTP.

Označenie hostiteľa vo výstupe opisuje lokálny koncový bod relay. Nepripájajte ho bez zmeny a nepredpokladajte, že teraz určuje vzdialené meno hostiteľa SFTP.

Overte odtlačok prostredníctvom dôveryhodného záznamu alebo správcu, skôr než kľúč priradíte skutočnému hostiteľovi a portu v known_hosts. ssh-keyscan zhromažďuje to, čo dostupný koncový bod predloží; úspešné pripojenie cez proxy tento kľúč neautentifikuje.

Súvisiace články