Hvad en springvært gør
En springvært, også kaldet en bastion, er en server, som du kan nå direkte, og som kan nå dine interne servere. Kun bastionens SSH-port er eksponeret; de interne servere accepterer kun SSH fra det interne netværk. Med ProxyJump åbner din klient én SSH-forbindelse til bastionen og en anden, ende-til-ende-krypteret forbindelse gennem den til målet. Bastionen sender trafikken videre, men kan ikke se sessionens indhold, og din private nøgle bliver på din computer.
Opret forbindelse fra kommandolinjen
Indstillingen -J angiver springværten. Adskil flere mellemstationer med kommaer; de bruges i den rækkefølge, du angiver. Føj indstillingerne til ~/.ssh/config, når du jævnligt bruger samme rute, så et kort alias er nok.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleKontrollér hver værtsnøgle
Hver mellemstation er en særskilt SSH-server med sin egen værtsnøgle, så bekræft fingeraftrykket for både bastionen og målet via en anden betroet kanal. En ændret nøgle på en hvilken som helst mellemstation kræver samme opmærksomhed som ved en direkte forbindelse. Sammenlign fingeraftrykket, der vises ved første forbindelse, med den værdi, en administrator aflæser på serveren.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256Foretræk ProxyJump frem for agentvideresendelse
Agentvideresendelse (ssh -A) lader alle med tilstrækkelige rettigheder på bastionen bruge dine indlæste nøgler, mens du er forbundet. ProxyJump behøver det ikke, fordi godkendelsen på målet sker fra din egen computer. Undgå også at gemme private nøgler på bastionen, og begræns, hvem der må logge ind der.
Almindelige fejl
Find først ud af, hvilken mellemstation der fejler: Opret forbindelse til bastionen alene, og kør derefter ssh -vvv med -J for at se, hvor forbindelsen stopper. Hvis bastionen virker, men målet ikke gør, skyldes det som regel en firewall mellem dem, et forkert internt navn eller et mål, der ikke accepterer din nøgle. En server med indstillingen AllowTcpForwarding no nægter at fungere som springvært.
Springværter i CH-J Server Manager
Alpha 0.1.1 opretter forbindelse via en gemt eller manuelt angivet springvært, og gemte værter kan danne en kæde med op til tre springværter. Værtsnøglen kontrolleres på hver mellemstation. Tilgængelighedsmonitoren kontrollerer kun en server bag en springvært gennem en åben session til denne springvært; ellers vises serveren som ikke verificeret, aldrig som online. Beta 0.1.0 har ikke denne funktion.