Skanna en SSH-nyckel via en befintlig proxy-relä

Samla kandidat-värdnycklar via ett lokalt TCP-relä medan skillnaden mellan reläets etikett och den riktiga SSH-värden bevaras.

ssh-keyscan accepterar inte SSH:s ProxyCommand-alternativ. En proxy som är konfigurerad för ssh konfigurerar därför inte automatiskt den separata skannern.

En lösning är ett redan upprättat lokalt TCP-relä som slutför den nödvändiga proxy-autentiseringen och CONNECT-utbytet och sedan exponerar byteströmmen för den avsedda SSH-servern. Om reläet lyssnar på 127.0.0.1:2222:

ssh-keyscan -p 2222 127.0.0.1 > candidate.keys
ssh-keygen -lf candidate.keys

Det första kommandot samlar kandidatnycklar; det andra visar deras fingeravtryck. Reläet måste släppa igenom SSH-strömmen efter att ha förbrukat det fullständiga proxy-svaret, i stället för att ge HTTP-huvuden till skannern.

Värdetiketten i utdata beskriver reläets lokala slutpunkt. Lägg inte till den oförändrad och anta inte att den nu identifierar det fjärran SFTP-värdnamnet.

Verifiera fingeravtrycket via en betrodd post eller administratör innan du kopplar nyckeln till den riktiga värden och porten i known_hosts. ssh-keyscan samlar det det nåbara slutpunkten presenterar; en lyckad proxyanslutning autentiserar inte den nyckeln.

Relaterade artiklar