Mida hüppeserver teeb
Hüppeserver ehk bastion on server, millele pääsed otse ligi ja mis pääseb ligi sinu siseserveritele. Välisvõrku on avatud ainult bastioni SSH-port; siseserverid võtavad SSH-ühendusi vastu ainult sisevõrgust. ProxyJumpi kasutamisel avab klient ühe SSH-ühenduse bastioniga ja teise, läbivalt krüptitud ühenduse selle kaudu sihtserveriga. Bastion edastab liiklust, kuid ei näe seansi sisu, ja sinu privaatvõti jääb sinu arvutisse.
Ühendu käsurealt
Valik -J määrab hüppeserveri. Eralda mitu vahepealset serverit komadega; neid kasutatakse sinu antud järjekorras. Kui kasutad sama marsruuti regulaarselt, lisa sätted faili ~/.ssh/config, et piisaks lühikesest aliasest.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleKontrolli iga hostivõtit
Iga vahepealne server on eraldi SSH-server oma hostivõtmega, seega kinnita nii bastioni kui ka sihtserveri sõrmejälg teise usaldatud kanali kaudu. Muutunud võti mis tahes vahepealses serveris vajab sama tähelepanu nagu otseühenduse korral. Võrdle esimesel ühendamisel pakutavat sõrmejälge väärtusega, mille administraator serverist loeb.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256Eelista ProxyJumpi agendi edastamisele
Agendi edastamine (ssh -A) lubab kõigil, kellel on bastionis piisavad õigused, kasutada sinu laaditud võtmeid seni, kuni oled ühendatud. ProxyJump ei vaja seda, sest sihtserveris autentimine toimub sinu enda arvutist. Samuti väldi privaatvõtmete hoidmist bastionis ja piira, kes sinna sisse logida tohib.
Levinud tõrked
Selgita esmalt välja, millises etapis ühendus ebaõnnestub: ühendu ainult bastioniga ja käivita seejärel ssh -vvv valikuga -J, et näha, kus ühendus katkeb. Kui bastion töötab, kuid sihtserver mitte, on põhjuseks tavaliselt nendevaheline tulemüür, vale sisemine nimi või sihtserver, mis ei aktsepteeri sinu võtit. Sättega AllowTcpForwarding no server keeldub hüppeserverina toimimast.
Hüppeserverid rakenduses CH-J Server Manager
Alpha 0.1.1 loob ühenduse salvestatud või käsitsi sisestatud hüppeserveri kaudu ning salvestatud hostidest saab moodustada kuni kolmest hüppeserverist koosneva ahela. Hostivõtit kontrollitakse igas etapis. Kättesaadavuse monitor kontrollib hüppeserveri taga olevat serverit ainult selle hüppeserveriga avatud seansi kaudu; muul juhul näitab see serverit kontrollimata olekus, mitte kunagi võrgus olevana. Beta 0.1.0 seda funktsiooni ei paku.