SSH ProxyCommand и аутентификација заснована на хосту: који хост потписује?

Разликујте прослеђивање TCP тока кроз бастион од покретања другог SSH клијента тамо када је укључена аутентификација заснована на хосту.

Циљ види TCP везу која долази са бастиона, док SSH клијент који обавља аутентификацију још ради на радној станици.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Овде се помоћник пријављује на бастион и тражи од његовог SSH сервера прослеђену везу ка циљу. Спољни SSH клијент радне станице размењује SSH протокол циља кроз тај ток. Бастион пружа транспорт; није покренуо SSH клијент окренут ка циљу.

Та разлика је важна за аутентификацију засновану на хосту. OpenSSH-ов помоћник ssh-keysign приступа локалним кључевима хоста ради стварања траженог потписа. Мрежна изворна адреса која припада бастиону не чини да радна станица потписује кључем хоста бастиона.

Упоредите то са:

ssh -t bastion ssh target

Ово покреће други SSH програм на бастиону. Његова локална конфигурација и доступни кључеви хоста припадају том рачунару, па може учествовати у већ подешеном аранжману поверења заснованом на хосту између бастиона и циља. Још му је потребна одговарајућа ауторизација и провере имена на циљу.

Други облик мења и начин рада сесије: извршава удаљену команду и користи терминал. Није транспарентна замена за сваки SSH пренос датотека или транспорт аутоматизације. Изаберите аранжман према томе која машина треба да се аутентификује на циљу, уместо да слабите провере поверења сервера како би изворна адреса изгледала довољна.

Повезани чланци