SSH ProxyCommand a autentifikácia založená na hostiteľovi: ktorý hostiteľ podpisuje?

Rozlíšte preposielanie TCP toku cez bastion od spustenia druhého SSH klienta tam, keď ide o autentifikáciu založenú na hostiteľovi.

Cieľ vidí TCP spojenie prichádzajúce z bastionu, zatiaľ čo SSH klient vykonávajúci autentifikáciu stále beží na pracovnej stanici.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Tu sa pomocník prihlási na bastion a požiada jeho SSH server o preposlané spojenie k cieľu. Vonkajší SSH klient pracovnej stanice vymieňa SSH protokol cieľa cez tento tok. Bastion zabezpečuje transport; nespustil SSH klienta smerujúceho k cieľu.

Tento rozdiel je dôležitý pre autentifikáciu založenú na hostiteľovi. Pomocník ssh-keysign v OpenSSH pristupuje k miestnym kľúčom hostiteľa, aby vytvoril požadovaný podpis. Sieťová zdrojová adresa patriaca bastionu nespôsobí, že pracovná stanica podpisuje kľúčom hostiteľa bastionu.

Porovnajte s:

ssh -t bastion ssh target

Toto spustí ďalší program SSH na bastione. Jeho miestna konfigurácia a dostupné kľúče hostiteľa patria tomuto stroju, takže sa môže zúčastniť už nastaveného vzťahu dôvery založeného na hostiteľovi medzi bastionom a cieľom. Stále potrebuje zodpovedajúcu autorizáciu a kontroly mena na cieli.

Druhá forma mení aj správanie relácie: spúšťa vzdialený príkaz a používa terminál. Nie je priehľadnou náhradou za každý prenos súborov cez SSH alebo automatizačný transport. Vyberte usporiadanie podľa toho, ktorý stroj sa má autentifikovať voči cieľu, namiesto oslabovania kontrol dôvery servera, aby zdrojová adresa vyzerala dostatočne.

Súvisiace články