Сканування ключа SSH через наявний проксі-ретранслятор

Збирайте ключі-кандидати хостів через локальний TCP-ретранслятор, зберігаючи різницю між міткою ретранслятора та справжнім хостом SSH.

ssh-keyscan не приймає опцію ProxyCommand з SSH. Тому проксі, налаштований для ssh, не налаштовує автоматично окремий сканер.

Один варіант — уже встановлений локальний TCP-ретранслятор, який виконує потрібну автентифікацію проксі та обмін CONNECT, а потім відкриває байтовий потік потрібного сервера SSH. Якщо цей ретранслятор слухає на 127.0.0.1:2222:

ssh-keyscan -p 2222 127.0.0.1 > candidate.keys
ssh-keygen -lf candidate.keys

Перша команда збирає ключі-кандидати, друга показує їхні відбитки. Ретранслятор має пропускати потік SSH після вичерпання повної відповіді проксі, а не передавати HTTP-заголовки сканеру.

Мітка хоста у виводі описує локальну кінцеву точку ретранслятора. Не додавайте її без змін і не вважайте, що тепер вона визначає віддалене ім'я хоста SFTP.

Перевірте відбиток через довірений запис або адміністратора, перш ніж пов'язувати ключ із справжнім хостом і портом у known_hosts. ssh-keyscan збирає те, що подає доступна кінцева точка; успішне з'єднання через проксі не засвідчує цей ключ.

Схожі статті