Čemu služi posrednički poslužitelj
Posrednički poslužitelj, koji se naziva i bastion, poslužitelj je kojem možete izravno pristupiti i koji može pristupiti vašim internim poslužiteljima. Izložen je samo SSH port bastiona; interni poslužitelji prihvaćaju SSH samo iz interne mreže. Uz ProxyJump vaš klijent otvara jednu SSH vezu s bastionom i drugu, šifriranu s kraja na kraj, preko njega do ciljnog poslužitelja. Bastion prosljeđuje promet, ali ne vidi sadržaj sesije, a vaš privatni ključ ostaje na vašem računalu.
Povezivanje iz naredbenog retka
Opcija -J određuje posrednički poslužitelj. Više posredničkih koraka odvojite zarezima; koriste se redoslijedom kojim ih navedete. Ako redovito koristite istu rutu, dodajte postavke u ~/.ssh/config kako bi bio dovoljan kratak pseudonim.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleProvjerite svaki ključ domaćina
Svaki korak zaseban je SSH poslužitelj s vlastitim ključem domaćina, stoga potvrdite otiske ključeva bastiona i ciljnog poslužitelja drugim pouzdanim kanalom. Promjena ključa na bilo kojem koraku zahtijeva jednaku pozornost kao kod izravne veze. Usporedite otisak ponuđen pri prvom povezivanju s vrijednošću koju administrator očita na poslužitelju.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256Dajte prednost alatu ProxyJump pred prosljeđivanjem agenta
Prosljeđivanje agenta (ssh -A) omogućuje svima s dovoljnim pravima na bastionu da koriste vaše učitane ključeve dok ste povezani. ProxyJump to ne treba jer se autentikacija na ciljnom poslužitelju odvija s vašeg računala. Također izbjegavajte pohranjivanje privatnih ključeva na bastionu i ograničite tko se ondje smije prijaviti.
Česti problemi
Najprije utvrdite na kojem koraku dolazi do pogreške: povežite se samo s bastionom, zatim pokrenite ssh -vvv uz -J da vidite gdje se veza zaustavlja. Ako bastion radi, a ciljni poslužitelj ne, uzrok je obično vatrozid između njih, pogrešan interni naziv ili ciljni poslužitelj koji ne prihvaća vaš ključ. Poslužitelj s postavkom AllowTcpForwarding no odbija služiti kao posrednički poslužitelj.
Posrednički poslužitelji u CH-J Server Manager
Alpha 0.1.1 povezuje se preko spremljenog ili ručno unesenog posredničkog poslužitelja, a spremljeni poslužitelji mogu tvoriti lanac od najviše tri posrednička poslužitelja. Ključ domaćina provjerava se na svakom koraku. Nadzor dostupnosti provjerava poslužitelj iza posredničkog poslužitelja samo putem otvorene sesije s tim posredničkim poslužiteljem; inače ga prikazuje kao neprovjerenog, nikad kao dostupnog. Beta 0.1.0 nema tu mogućnost.