Τι κάνει ένας ενδιάμεσος διακομιστής
Ένας ενδιάμεσος διακομιστής, γνωστός και ως bastion, είναι ένας διακομιστής στον οποίο έχετε άμεση πρόσβαση και ο οποίος μπορεί να προσεγγίσει τους εσωτερικούς σας διακομιστές. Μόνο η θύρα SSH του bastion είναι εκτεθειμένη προς τα έξω· οι εσωτερικοί διακομιστές δέχονται SSH μόνο από το εσωτερικό δίκτυο. Με το ProxyJump ο πελάτης σας ανοίγει μία σύνδεση SSH προς το bastion και μια δεύτερη, κρυπτογραφημένη από άκρο σε άκρο σύνδεση μέσω αυτού προς τον προορισμό. Το bastion προωθεί την κίνηση, αλλά δεν βλέπει το περιεχόμενο της συνεδρίας, και το ιδιωτικό σας κλειδί παραμένει στον υπολογιστή σας.
Σύνδεση από τη γραμμή εντολών
Η επιλογή -J ορίζει τον ενδιάμεσο διακομιστή. Διαχωρίστε τους διαδοχικούς ενδιάμεσους διακομιστές με κόμματα· χρησιμοποιούνται με τη σειρά που τους δίνετε. Προσθέστε τις ρυθμίσεις στο ~/.ssh/config όταν χρησιμοποιείτε τακτικά την ίδια διαδρομή, ώστε να αρκεί ένα σύντομο ψευδώνυμο.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleΕπαληθεύστε κάθε κλειδί κεντρικού υπολογιστή
Κάθε ενδιάμεσος κόμβος είναι ξεχωριστός διακομιστής SSH με δικό του κλειδί κεντρικού υπολογιστή, οπότε επιβεβαιώστε το αποτύπωμα τόσο του bastion όσο και του προορισμού μέσω άλλου αξιόπιστου καναλιού. Η αλλαγή κλειδιού σε οποιονδήποτε κόμβο απαιτεί την ίδια προσοχή όπως σε μια άμεση σύνδεση. Συγκρίνετε το αποτύπωμα που εμφανίζεται κατά την πρώτη σύνδεση με την τιμή που διαβάζει ένας διαχειριστής στον διακομιστή.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256Προτιμήστε το ProxyJump από την προώθηση του agent
Η προώθηση του agent (ssh -A) επιτρέπει σε οποιονδήποτε έχει επαρκή δικαιώματα στο bastion να χρησιμοποιεί τα φορτωμένα κλειδιά σας όσο είστε συνδεδεμένοι. Το ProxyJump δεν τη χρειάζεται, επειδή η ταυτοποίηση στον προορισμό γίνεται από τον δικό σας υπολογιστή. Επίσης, αποφύγετε την αποθήκευση ιδιωτικών κλειδιών στο bastion και περιορίστε ποιοι μπορούν να συνδέονται σε αυτό.
Συνηθισμένες αποτυχίες
Πρώτα εντοπίστε σε ποιον κόμβο αποτυγχάνει η σύνδεση: συνδεθείτε μόνο στο bastion και έπειτα εκτελέστε ssh -vvv με -J για να δείτε πού σταματά η σύνδεση. Αν το bastion λειτουργεί αλλά ο προορισμός όχι, η αιτία είναι συνήθως ένα τείχος προστασίας ανάμεσά τους, ένα λανθασμένο εσωτερικό όνομα ή ένας προορισμός που δεν δέχεται το κλειδί σας. Ένας διακομιστής με ρύθμιση AllowTcpForwarding no αρνείται να λειτουργήσει ως ενδιάμεσος διακομιστής.
Ενδιάμεσοι διακομιστές στο CH-J Server Manager
Η Alpha 0.1.1 συνδέεται μέσω αποθηκευμένου ή μη αυτόματα καταχωρισμένου ενδιάμεσου διακομιστή, και οι αποθηκευμένοι κεντρικοί υπολογιστές μπορούν να σχηματίσουν αλυσίδα έως τριών ενδιάμεσων διακομιστών. Το κλειδί κεντρικού υπολογιστή ελέγχεται σε κάθε κόμβο. Η παρακολούθηση διαθεσιμότητας ελέγχει έναν διακομιστή πίσω από ενδιάμεσο διακομιστή μόνο μέσω ανοιχτής συνεδρίας προς αυτόν τον ενδιάμεσο διακομιστή· διαφορετικά εμφανίζει τον διακομιστή ως μη επαληθευμένο, ποτέ ως συνδεδεμένο. Η Beta 0.1.0 δεν διαθέτει αυτή τη λειτουργία.