Fungsi hos perantara
Hos perantara, juga dipanggil bastion, ialah pelayan yang boleh anda capai secara langsung dan yang boleh mencapai pelayan dalaman anda. Hanya port SSH bastion didedahkan; pelayan dalaman menerima SSH hanya daripada rangkaian dalaman. Dengan ProxyJump, klien anda membuka satu sambungan SSH ke bastion dan sambungan kedua yang disulitkan hujung ke hujung melaluinya ke sasaran. Bastion meneruskan trafik tetapi tidak melihat kandungan sesi, dan kunci peribadi anda kekal pada komputer anda.
Sambung melalui baris perintah
Pilihan -J menentukan hos perantara. Pisahkan beberapa lompatan dengan koma; lompatan digunakan mengikut urutan yang anda berikan. Tambahkan tetapan pada ~/.ssh/config jika anda kerap menggunakan laluan yang sama, supaya alias pendek sudah memadai.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleSahkan setiap kunci hos
Setiap lompatan ialah pelayan SSH berasingan dengan kunci hos sendiri, jadi sahkan cap jari bastion dan sasaran melalui saluran dipercayai yang lain. Kunci yang berubah pada mana-mana lompatan memerlukan perhatian yang sama seperti pada sambungan langsung. Bandingkan cap jari yang ditawarkan semasa sambungan pertama dengan nilai yang dibaca oleh pentadbir pada pelayan.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256Utamakan ProxyJump berbanding pemajuan ejen
Pemajuan ejen (ssh -A) membolehkan sesiapa yang mempunyai hak mencukupi pada bastion menggunakan kunci yang telah anda muatkan semasa anda bersambung. ProxyJump tidak memerlukannya kerana pengesahan kepada sasaran dilakukan dari komputer anda sendiri. Elakkan juga menyimpan kunci peribadi pada bastion dan hadkan siapa yang boleh log masuk di situ.
Kegagalan lazim
Mula-mula tentukan lompatan yang gagal: sambung ke bastion sahaja, kemudian jalankan ssh -vvv dengan -J untuk melihat tempat sambungan terhenti. Jika bastion berfungsi tetapi sasaran tidak, puncanya biasanya firewall antara kedua-duanya, nama dalaman yang salah atau sasaran yang tidak menerima kunci anda. Pelayan yang dikonfigurasi dengan AllowTcpForwarding no enggan bertindak sebagai hos perantara.
Hos perantara dalam CH-J Server Manager
Alpha 0.1.1 menyambung melalui hos perantara yang disimpan atau dimasukkan secara manual, dan hos tersimpan boleh membentuk rantaian sehingga tiga hos perantara. Kunci hos disemak pada setiap lompatan. Pemantau ketersediaan menyemak pelayan di belakang hos perantara hanya melalui sesi yang terbuka ke hos perantara itu; jika tiada sesi tersebut, pelayan dipaparkan sebagai belum disahkan, dan tidak sekali-kali sebagai dalam talian. Beta 0.1.0 tidak mempunyai ciri ini.