Какво прави междинният сървър
Междинният сървър, наричан още бастион, е сървър, до който имате пряк достъп и който има достъп до вътрешните ви сървъри. Само SSH портът на бастиона е достъпен отвън; вътрешните сървъри приемат SSH само от вътрешната мрежа. С ProxyJump клиентът ви отваря една SSH връзка към бастиона и втора, шифрована от край до край връзка през него към целта. Бастионът препраща трафика, но не вижда съдържанието на сесията, а частният ви ключ остава на вашия компютър.
Свързване от командния ред
Опцията -J задава междинния сървър. Разделяйте няколко междинни сървъра със запетаи; те се използват в посочения ред. Добавете настройките в ~/.ssh/config, ако редовно използвате същия маршрут, за да е достатъчен кратък псевдоним.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleПроверявайте всеки хост ключ
Всеки междинен сървър е отделен SSH сървър със собствен хост ключ, затова потвърдете отпечатъка на бастиона и на целта по друг доверен канал. Променен ключ на който и да е етап заслужава същото внимание като при пряка връзка. Сравнете отпечатъка, предложен при първото свързване, със стойността, която администратор прочете на сървъра.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256Предпочитайте ProxyJump пред препращането на агента
Препращането на агента (ssh -A) позволява на всеки с достатъчни права на бастиона да използва заредените ви ключове, докато сте свързани. ProxyJump няма нужда от него, защото удостоверяването пред целта се извършва от собствения ви компютър. Избягвайте също съхраняването на частни ключове на бастиона и ограничете кой може да влиза в него.
Чести проблеми
Първо установете на кой етап възниква проблемът: свържете се само с бастиона, след което изпълнете ssh -vvv с -J, за да видите къде спира връзката. Ако бастионът работи, но целта не, причината обикновено е защитна стена между тях, грешно вътрешно име или цел, която не приема ключа ви. Сървър с настройка AllowTcpForwarding no отказва да действа като междинен сървър.
Междинни сървъри в CH-J Server Manager
Alpha 0.1.1 се свързва през запазен или ръчно въведен междинен сървър, а запазените хостове могат да образуват верига от до три междинни сървъра. Хост ключът се проверява на всеки етап. Мониторът за достъпност проверява сървър зад междинен сървър само през отворена сесия към този междинен сървър; иначе го показва като непроверен, никога като онлайн. Beta 0.1.0 няма тази функция.