जंप होस्ट क्या करता है
जंप होस्ट, जिसे बैस्टियन भी कहते हैं, ऐसा सर्वर है जिससे आप सीधे जुड़ सकते हैं और जो आपके आंतरिक सर्वर तक पहुँच सकता है। केवल बैस्टियन का SSH पोर्ट बाहर उपलब्ध होता है; आंतरिक सर्वर सिर्फ आंतरिक नेटवर्क से SSH कनेक्शन स्वीकार करते हैं। ProxyJump के साथ आपका क्लाइंट बैस्टियन तक एक SSH कनेक्शन खोलता है और उसके ज़रिए लक्ष्य तक दूसरा, शुरू से अंत तक एन्क्रिप्टेड कनेक्शन बनाता है। बैस्टियन ट्रैफ़िक आगे भेजता है, लेकिन सत्र की सामग्री नहीं देख सकता और आपकी निजी कुंजी आपके कंप्यूटर पर ही रहती है।
कमांड लाइन से कनेक्ट करें
-J विकल्प जंप होस्ट निर्दिष्ट करता है। कई हॉप हों तो उन्हें कॉमा से अलग करें; उनका उपयोग आपके दिए हुए क्रम में होगा। अगर आप नियमित रूप से उसी रास्ते का उपयोग करते हैं, तो सेटिंग ~/.ssh/config में जोड़ दें, ताकि एक छोटा उपनाम ही काफ़ी हो।
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleहर होस्ट कुंजी सत्यापित करें
हर हॉप अपनी होस्ट कुंजी वाला अलग SSH सर्वर है, इसलिए बैस्टियन और लक्ष्य, दोनों के फ़िंगरप्रिंट किसी दूसरे विश्वसनीय माध्यम से पक्के करें। किसी भी हॉप पर कुंजी बदलने पर उतना ही ध्यान देना चाहिए जितना सीधे कनेक्शन में देते हैं। पहली बार कनेक्ट करते समय दिखाए गए फ़िंगरप्रिंट की तुलना उस मान से करें जिसे प्रशासक सर्वर पर पढ़ता है।
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256एजेंट फ़ॉरवर्डिंग के बजाय ProxyJump को प्राथमिकता दें
एजेंट फ़ॉरवर्डिंग (ssh -A) से बैस्टियन पर पर्याप्त अधिकार रखने वाला कोई भी व्यक्ति, आपके कनेक्ट रहने के दौरान, आपकी लोड की हुई कुंजियों का उपयोग कर सकता है। ProxyJump को इसकी ज़रूरत नहीं है, क्योंकि लक्ष्य पर प्रमाणीकरण आपके अपने कंप्यूटर से होता है। बैस्टियन पर निजी कुंजियाँ रखने से भी बचें और सीमित करें कि वहाँ कौन लॉगिन कर सकता है।
कनेक्शन की आम समस्याएँ
पहले पता करें कि कौन सा हॉप विफल हो रहा है: केवल बैस्टियन से कनेक्ट करें, फिर -J के साथ ssh -vvv चलाकर देखें कि कनेक्शन कहाँ रुकता है। अगर बैस्टियन काम करता है लेकिन लक्ष्य नहीं, तो कारण आम तौर पर उनके बीच का फ़ायरवॉल, गलत आंतरिक नाम या लक्ष्य का आपकी कुंजी स्वीकार न करना होता है। AllowTcpForwarding no से कॉन्फ़िगर किया गया सर्वर जंप होस्ट की तरह काम करने से इनकार करता है।
CH-J Server Manager में जंप होस्ट
Alpha 0.1.1 सहेजे गए या मैन्युअल रूप से दर्ज किए गए जंप होस्ट के ज़रिए कनेक्ट होता है, और सहेजे गए होस्ट से अधिकतम तीन जंप होस्ट की श्रृंखला बन सकती है। हर हॉप पर होस्ट कुंजी जाँची जाती है। उपलब्धता मॉनिटर जंप होस्ट के पीछे के सर्वर को केवल उस जंप होस्ट से खुले सत्र के ज़रिए जाँचता है; अन्यथा वह सर्वर को असत्यापित दिखाता है, कभी भी ऑनलाइन नहीं। Beta 0.1.0 में यह सुविधा नहीं है।