وظيفة المضيف الوسيط
المضيف الوسيط، الذي يُسمّى أيضاً bastion، هو خادم يمكنك الوصول إليه مباشرة ويمكنه الوصول إلى خوادمك الداخلية. لا يُكشف للخارج إلا منفذ SSH الخاص به؛ أما الخوادم الداخلية فلا تقبل SSH إلا من الشبكة الداخلية. مع ProxyJump، يفتح العميل اتصال SSH بالمضيف الوسيط واتصالاً ثانياً مشفراً من طرف إلى طرف عبره إلى الخادم الهدف. يمرر المضيف الوسيط حركة البيانات لكنه لا يرى محتويات الجلسة، ويبقى مفتاحك الخاص على جهازك.
الاتصال من سطر الأوامر
يحدد الخيار -J المضيف الوسيط. افصل بين القفزات المتعددة بفواصل؛ إذ تُستخدم بالترتيب الذي تحدده. أضف الإعدادات إلى ~/.ssh/config عندما تستخدم المسار نفسه بانتظام، ليكفي اسم مستعار قصير.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleتحقق من كل مفتاح مضيف
كل قفزة هي خادم SSH مستقل له مفتاح مضيف خاص به، لذا أكد بصمة كل من المضيف الوسيط والخادم الهدف عبر قناة أخرى موثوقة. يستحق تغير المفتاح في أي قفزة الاهتمام نفسه الذي يستحقه في اتصال مباشر. قارن البصمة المعروضة عند الاتصال الأول بالقيمة التي يقرأها مسؤول النظام على الخادم.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256فضّل ProxyJump على إعادة توجيه الوكيل
تتيح إعادة توجيه الوكيل (ssh -A) لأي شخص لديه صلاحيات كافية على المضيف الوسيط استخدام مفاتيحك المحمّلة ما دمت متصلاً. لا يحتاج ProxyJump إلى ذلك، لأن المصادقة مع الهدف تتم من جهازك نفسه. تجنب أيضاً تخزين المفاتيح الخاصة على المضيف الوسيط، وقيّد من يُسمح لهم بتسجيل الدخول إليه.
الأعطال الشائعة
حدد أولاً القفزة التي تفشل: اتصل بالمضيف الوسيط وحده، ثم شغّل ssh -vvv مع -J لمعرفة موضع توقف الاتصال. إذا نجح الاتصال بالمضيف الوسيط وفشل مع الهدف، فالسبب عادة جدار ناري بينهما، أو اسم داخلي غير صحيح، أو خادم هدف لا يقبل مفتاحك. يرفض الخادم المضبوط على AllowTcpForwarding no العمل كمضيف وسيط.
المضيفات الوسيطة في CH-J Server Manager
يتصل Alpha 0.1.1 عبر مضيف وسيط محفوظ أو مُدخل يدوياً، ويمكن للمضيفات المحفوظة تكوين سلسلة من ثلاثة مضيفات وسيطة كحد أقصى. يُفحص مفتاح المضيف عند كل قفزة. لا يفحص مراقب التوافر خادماً خلف مضيف وسيط إلا عبر جلسة مفتوحة إلى ذلك المضيف الوسيط؛ وإلا فيعرض الخادم على أنه غير متحقق منه، ولا يعرضه أبداً على أنه متصل. لا تتوفر هذه الميزة في Beta 0.1.0.