Ano ang ginagawa ng jump host
Ang jump host, na tinatawag ding bastion, ay server na maaabot mo nang direkta at nakaaabot sa iyong mga internal server. SSH port lamang ng bastion ang nakabukas sa labas; tumatanggap lamang ang mga internal server ng SSH mula sa internal network. Sa ProxyJump, nagbubukas ang client mo ng isang SSH connection sa bastion at pangalawang connection na may end-to-end encryption papunta sa target sa pamamagitan nito. Ipinapasa ng bastion ang trapiko ngunit hindi nito nakikita ang nilalaman ng session, at nananatili sa computer mo ang iyong private key.
Kumonekta mula sa command line
Tinutukoy ng option na -J ang jump host. Paghiwalayin ng kuwit ang maraming hop; gagamitin ang mga ito sa pagkakasunod-sunod na ibinigay mo. Idagdag ang mga setting sa ~/.ssh/config kapag regular mong ginagamit ang parehong ruta, para sapat na ang maikling alias.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.examplePatunayan ang bawat host key
Hiwalay na SSH server na may sariling host key ang bawat hop, kaya kumpirmahin ang fingerprint ng bastion at ng target sa isa pang pinagkakatiwalaang channel. Ang nagbagong key sa alinmang hop ay nangangailangan ng kaparehong pag-iingat gaya ng sa direktang connection. Ihambing ang fingerprint na ipinapakita sa unang pagkonekta sa halagang binabasa ng administrator sa server.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256Piliin ang ProxyJump kaysa sa agent forwarding
Sa agent forwarding (ssh -A), magagamit ng sinumang may sapat na karapatan sa bastion ang mga key na na-load mo habang nakakonekta ka. Hindi ito kailangan ng ProxyJump, dahil mula sa sarili mong computer ginagawa ang authentication sa target. Iwasan ding mag-imbak ng private key sa bastion at limitahan kung sino ang maaaring mag-login doon.
Mga karaniwang problema
Alamin muna kung aling hop ang pumapalya: kumonekta sa bastion lamang, saka patakbuhin ang ssh -vvv na may -J upang makita kung saan humihinto ang connection. Kung gumagana ang bastion ngunit hindi ang target, karaniwang sanhi ang firewall sa pagitan nila, maling internal name o target na hindi tumatanggap ng key mo. Tumangging magsilbing jump host ang server na may setting na AllowTcpForwarding no.
Mga jump host sa CH-J Server Manager
Kumokonekta ang Alpha 0.1.1 sa pamamagitan ng naka-save o manu-manong inilagay na jump host, at maaaring bumuo ang mga naka-save na host ng kadena na may hanggang tatlong jump host. Sinusuri ang host key sa bawat hop. Sinusuri lamang ng availability monitor ang server sa likod ng jump host sa pamamagitan ng bukas na session sa jump host na iyon; kung wala ito, ipinapakita ang server bilang hindi pa napapatunayan, at hindi kailanman bilang online. Walang ganitong feature ang Beta 0.1.0.