SSH ProxyCommand ve Ana Makine Tabanlı Kimlik Doğrulama: Hangi Ana Makine İmzalar?

Ana makine tabanlı kimlik doğrulama söz konusu olduğunda bir TCP akışını bastion üzerinden iletmeyi orada ikinci bir SSH istemcisi başlatmaktan ayırın.

Hedef, bastiondan gelen bir TCP bağlantısı görürken kimlik doğrulamayı yapan SSH istemcisi hâlâ iş istasyonunda çalışır.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Burada yardımcı bastiona giriş yapar ve SSH sunucusundan hedefe iletilen bir bağlantı ister. İş istasyonunun dış SSH istemcisi hedefin SSH protokolünü bu akış üzerinden değiş tokuş eder. Bastion taşımayı sağlar; hedefe yönelik SSH istemcisini başlatmamıştır.

Bu ayrım ana makine tabanlı kimlik doğrulama için önemlidir. OpenSSH'nin ssh-keysign yardımcısı gerekli imzayı oluşturmak için yerel ana makine anahtarlarına erişir. Ağ kaynak adresinin bastiona ait olması, iş istasyonunun bastionun ana makine anahtarıyla imzalamasını sağlamaz.

Şununla karşılaştırın:

ssh -t bastion ssh target

Bu, bastionda başka bir SSH programı başlatır. Yerel yapılandırması ve kullanılabilir ana makine anahtarları o makineye aittir, bu nedenle bastion ile hedef arasında önceden yapılandırılmış ana makine tabanlı güven düzenine katılabilir. Yine de hedefin ilgili yetkilendirmesine ve ad denetimlerine ihtiyaç duyar.

İkinci biçim oturumun çalışma şeklini de değiştirir: uzak bir komut çalıştırır ve bir terminal kullanır. Her SSH dosya aktarımı veya otomasyon taşıması için şeffaf bir yedek değildir. Kaynak adresi yeterli görünsün diye sunucunun güven denetimlerini zayıflatmak yerine, hedefe hangi makinenin kimlik doğrulaması gerektiğine göre düzeni seçin.

İlgili makaleler