Mire való az ugrógép?
Az ugrógép, más néven bástyagép, olyan szerver, amelyet Ön közvetlenül elér, és amely eléri a belső szervereket. Csak a bástyagép SSH-portja érhető el kívülről; a belső szerverek kizárólag a belső hálózatról fogadnak SSH-kapcsolatokat. A ProxyJump használatakor a kliens egy SSH-kapcsolatot nyit a bástyagéphez, majd azon át egy második, végpontok között titkosított kapcsolatot a célszerverhez. A bástyagép továbbítja a forgalmat, de a munkamenet tartalmát nem látja, a magánkulcs pedig az Ön számítógépén marad.
Csatlakozás a parancssorból
A -J kapcsoló adja meg az ugrógépet. Több köztes gépet vesszővel válasszon el; a megadott sorrendben kerülnek sorra. Ha rendszeresen ugyanazt az útvonalat használja, adja hozzá a beállításokat a ~/.ssh/config fájlhoz, így elég lesz egy rövid álnév.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleEllenőrizzen minden gépkulcsot
Minden köztes gép külön SSH-szerver, saját gépkulccsal, ezért a bástyagép és a célszerver kulcsának ujjlenyomatát is ellenőrizze egy másik, megbízható csatornán. Bármelyik gép kulcsának változása ugyanakkora figyelmet igényel, mint közvetlen kapcsolat esetén. Hasonlítsa össze az első csatlakozáskor felajánlott ujjlenyomatot azzal az értékkel, amelyet egy rendszergazda a szerveren olvas ki.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256Válassza a ProxyJump használatát az ügynöktovábbítás helyett
Az ügynöktovábbítás (ssh -A) lehetővé teszi, hogy a bástyagépen megfelelő jogosultsággal rendelkezők a kapcsolat ideje alatt használják az Ön betöltött kulcsait. A ProxyJump ezt nem igényli, mert a célszerver felé a hitelesítés az Ön számítógépéről történik. Magánkulcsokat se tároljon a bástyagépen, és korlátozza, ki jelentkezhet be oda.
Gyakori hibák
Először derítse ki, melyik lépésnél van a hiba: csatlakozzon csak a bástyagéphez, majd futtassa az ssh -vvv parancsot a -J kapcsolóval, hogy lássa, hol akad el a kapcsolat. Ha a bástyagép működik, de a célszerver nem, az ok általában a köztük lévő tűzfal, hibás belső név vagy az, hogy a célszerver nem fogadja el a kulcsát. Az AllowTcpForwarding no beállítású szerver nem hajlandó ugrógépként működni.
Ugrógépek a CH-J Server Manager alkalmazásban
Az Alpha 0.1.1 mentett vagy kézzel megadott ugrógépen keresztül csatlakozik, a mentett gépekből pedig legfeljebb három ugrógépből álló lánc alakítható ki. A gépkulcs ellenőrzése minden lépésnél megtörténik. Az elérhetőségfigyelő az ugrógép mögötti szervert csak az ugrógéphez tartozó nyitott munkameneten át ellenőrzi; ennek hiányában a szervert ellenőrizetlenként jeleníti meg, sohasem elérhetőként. A Beta 0.1.0 nem rendelkezik ezzel a funkcióval.