SSH ProxyCommand in avtentikacija na podlagi gostitelja: kateri gostitelj podpiše?

Cilj vidi povezavo TCP, ki prihaja z bastiona, medtem ko odjemalec SSH, ki izvaja avtentikacijo, še vedno teče na delovni postaji.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Tu se pomočnik prijavi na bastion in od njegovega strežnika SSH zahteva posredovano povezavo do cilja. Zunanji odjemalec SSH na delovni postaji izmenjuje protokol SSH cilja skozi ta tok. Bastion zagotavlja prenos; ni zagnal odjemalca SSH, usmerjenega v cilj.

Ta razlika je pomembna za avtentikacijo na podlagi gostitelja. Pomočnik ssh-keysign v OpenSSH dostopa do lokalnih ključev gostitelja, da ustvari zahtevani podpis. Omrežni naslov vira, ki pripada bastionu, ne povzroči, da bi delovna postaja podpisala s ključem gostitelja bastiona.

Primerjajte s:

ssh -t bastion ssh target

To zažene drug program SSH na bastionu. Njegova lokalna konfiguracija in razpoložljivi ključi gostitelja pripadajo temu stroju, zato lahko sodeluje v že nastavljeni shemi zaupanja na podlagi gostitelja med bastionom in ciljem. Še vedno potrebuje ustrezno avtorizacijo in preverjanja imena na cilju.

Druga oblika spremeni tudi delovanje seje: izvaja oddaljeni ukaz in uporablja terminal. Ni pregleden nadomestek za vsak prenos datotek SSH ali transport avtomatizacije. Izberite ureditev glede na to, kateri stroj se mora avtenticirati pri cilju, namesto da bi oslabili preverjanja zaupanja strežnika, da bi naslov vira izgledal zadosten.