Ko dara starpniekserveris
Starpniekserveris, ko sauc arī par bastionu, ir serveris, kuram varat piekļūt tieši un kurš var piekļūt jūsu iekšējiem serveriem. No ārpuses ir pieejams tikai bastiona SSH ports; iekšējie serveri pieņem SSH savienojumus tikai no iekšējā tīkla. Ar ProxyJump klients izveido vienu SSH savienojumu ar bastionu un otru, starp galapunktiem šifrētu savienojumu caur to ar mērķa serveri. Bastions pārsūta datplūsmu, bet neredz sesijas saturu, un jūsu privātā atslēga paliek jūsu datorā.
Savienojuma izveide no komandrindas
Opcija -J norāda starpniekserveri. Vairākus starpposmus atdaliet ar komatiem; tie tiek izmantoti norādītajā secībā. Ja regulāri izmantojat to pašu maršrutu, pievienojiet iestatījumus ~/.ssh/config, lai pietiktu ar īsu aizstājvārdu.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.examplePārbaudiet katru hosta atslēgu
Katrs starpposms ir atsevišķs SSH serveris ar savu hosta atslēgu, tāpēc apstipriniet gan bastiona, gan mērķa servera atslēgas nospiedumu citā uzticamā kanālā. Atslēgas maiņa jebkurā posmā prasa tādu pašu uzmanību kā tieša savienojuma gadījumā. Salīdziniet pirmajā savienojumā piedāvāto nospiedumu ar vērtību, kuru administrators nolasa serverī.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256Dodiet priekšroku ProxyJump, nevis aģenta pāradresācijai
Aģenta pāradresācija (ssh -A) ļauj ikvienam ar pietiekamām tiesībām bastionā izmantot jūsu ielādētās atslēgas, kamēr esat savienots. ProxyJump tas nav vajadzīgs, jo autentifikācija mērķa serverī notiek no jūsu datora. Izvairieties arī no privāto atslēgu glabāšanas bastionā un ierobežojiet to personu loku, kuras drīkst tajā pieteikties.
Biežākās kļūmes
Vispirms nosakiet, kurš posms neizdodas: izveidojiet savienojumu tikai ar bastionu un pēc tam palaidiet ssh -vvv ar -J, lai redzētu, kur savienojums apstājas. Ja bastions darbojas, bet mērķa serveris ne, iemesls parasti ir ugunsmūris starp tiem, nepareizs iekšējais nosaukums vai tas, ka mērķa serveris nepieņem jūsu atslēgu. Serveris ar iestatījumu AllowTcpForwarding no atsakās darboties kā starpniekserveris.
Starpniekserveri lietotnē CH-J Server Manager
Alpha 0.1.1 izveido savienojumu caur saglabātu vai manuāli ievadītu starpniekserveri, un saglabātie serveri var veidot ķēdi ar ne vairāk kā trim starpniekserveriem. Hosta atslēga tiek pārbaudīta katrā posmā. Pieejamības pārraugs pārbauda serveri aiz starpniekservera tikai caur atvērtu sesiju ar šo starpniekserveri; citādi tas rāda serveri kā nepārbaudītu, nekad kā tiešsaistē esošu. Beta 0.1.0 šīs funkcijas nav.