SSH ProxyCommand dhe autentikimi i bazuar në host: cili host nënshkruan?

Objektivi shikon një lidhje TCP që vjen nga bastioni ndërsa klienti SSH që kryen autentikimin vazhdon të ekzekutohet në stacionin e punës.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Këtu ndihmësi hyn në bastion dhe i kërkon serverit të tij SSH një lidhje të përcjellë drejt objektivit. Klienti i jashtëm SSH i stacionit shkëmben protokollin SSH të objektivit përmes asaj rryme. Bastioni siguron transportin; ai nuk e ka nisur klientin SSH që drejtohet nga objektivi.

Ky dallim ka rëndësi për autentikimin e bazuar në host. Ndihmësi ssh-keysign i OpenSSH qaset te çelësat lokalë të hostit për të gjeneruar nënshkrimin e kërkuar. Një adresë burimore rrjeti që i përket bastionit nuk e bën stacionin të nënshkruajë me çelësin e hostit të bastionit.

Krahasojeni me:

ssh -t bastion ssh target

Kjo nis një program tjetër SSH në bastion. Konfigurimi lokal dhe çelësat e hostit të disponueshëm i përkasin atij makinerie, kështu që mund të marrë pjesë në një marrëveshje besimi të bazuar në host të konfiguruar më parë midis bastionit dhe objektivit. Ende i nevojitet autorizimi përkatës dhe kontrollet e emrit të objektivit.

Forma e dytë ndryshon gjithashtu mënyrën e funksionimit të sesionit: ekzekuton një komandë në distancë dhe përdor një terminal. Nuk është zëvendësim transparencë për çdo transferim skedarësh SSH ose transport automatizimi. Zgjidhni rregullimin sipas makinës që duhet të autentikohet te objektivi, në vend që të dobësoni kontrollet e besimit të serverit që adresa burimore të duket e mjaftueshme.