Na čo slúži prepojovací server
Prepojovací server, nazývaný aj bastion, je server, ku ktorému sa môžete pripojiť priamo a ktorý má prístup k vašim interným serverom. Navonok je sprístupnený iba port SSH bastionu; interné servery prijímajú SSH len z internej siete. S ProxyJump klient vytvorí jedno spojenie SSH k bastionu a cez neho druhé, koncovo šifrované spojenie k cieľu. Bastion prevádzku preposiela, ale nevidí obsah relácie a váš súkromný kľúč zostáva vo vašom počítači.
Pripojenie z príkazového riadka
Voľba -J určuje prepojovací server. Viacero medziuzlov oddeľte čiarkami; použijú sa v zadanom poradí. Ak rovnakú trasu používate pravidelne, pridajte nastavenia do ~/.ssh/config, aby vám stačil krátky alias.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleOverte každý kľúč hostiteľa
Každý medziuzol je samostatný server SSH s vlastným kľúčom hostiteľa, preto odtlačok bastionu aj cieľa potvrďte cez iný dôveryhodný kanál. Zmenený kľúč na ktoromkoľvek medziuzle si zaslúži rovnakú pozornosť ako pri priamom spojení. Odtlačok ponúknutý pri prvom pripojení porovnajte s hodnotou, ktorú správca zistí na serveri.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256Uprednostnite ProxyJump pred preposielaním agenta
Preposielanie agenta (ssh -A) umožňuje komukoľvek s dostatočnými oprávneniami na bastione používať vaše načítané kľúče, kým ste pripojení. ProxyJump ho nepotrebuje, pretože autentifikácia voči cieľu prebieha z vášho počítača. Neukladajte ani súkromné kľúče na bastion a obmedzte, kto sa naň smie prihlásiť.
Bežné problémy s pripojením
Najprv určte, ktorý medziuzol zlyháva: pripojte sa iba k bastionu a potom spustite ssh -vvv s -J, aby ste videli, kde sa spojenie zastaví. Ak bastion funguje, ale cieľ nie, príčinou je zvyčajne firewall medzi nimi, nesprávny interný názov alebo cieľ, ktorý neprijíma váš kľúč. Server s nastavením AllowTcpForwarding no odmietne fungovať ako prepojovací server.
Prepojovacie servery v CH-J Server Manager
Alpha 0.1.1 sa pripája cez uložený alebo ručne zadaný prepojovací server a uložené servery môžu tvoriť reťazec najviac troch prepojovacích serverov. Kľúč hostiteľa sa kontroluje na každom medziuzle. Monitor dostupnosti kontroluje server za prepojovacím serverom iba cez otvorenú reláciu k tomuto prepojovaciemu serveru; inak ho zobrazí ako neoverený, nikdy ako online. Beta 0.1.0 túto funkciu nemá.