Kaj počne vmesni gostitelj
Vmesni gostitelj, imenovan tudi bastion, je strežnik, ki je neposredno dosegljiv vam in ima dostop do vaših notranjih strežnikov. Navzven so izpostavljena le vrata SSH bastiona; notranji strežniki sprejemajo SSH samo iz notranjega omrežja. S ProxyJump odjemalec vzpostavi eno povezavo SSH do bastiona in prek njega drugo, od konca do konca šifrirano povezavo do cilja. Bastion posreduje promet, vendar ne vidi vsebine seje, vaš zasebni ključ pa ostane v vašem računalniku.
Povezava iz ukazne vrstice
Možnost -J določa vmesnega gostitelja. Več vmesnih točk ločite z vejicami; uporabljene bodo v navedenem vrstnem redu. Če isto pot uporabljate redno, dodajte nastavitve v ~/.ssh/config, da bo zadostoval kratek vzdevek.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.examplePreverite vsak ključ gostitelja
Vsaka vmesna točka je ločen strežnik SSH z lastnim ključem gostitelja, zato prstni odtis bastiona in cilja potrdite po drugem zaupanja vrednem kanalu. Spremenjen ključ na katerikoli točki zahteva enako pozornost kot pri neposredni povezavi. Prstni odtis, ponujen ob prvi povezavi, primerjajte z vrednostjo, ki jo skrbnik prebere na strežniku.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256Dajte prednost ProxyJump pred posredovanjem agenta
Posredovanje agenta (ssh -A) omogoča vsakomur z zadostnimi pravicami na bastionu uporabo vaših naloženih ključev, dokler ste povezani. ProxyJump tega ne potrebuje, ker overjanje pri cilju poteka iz vašega računalnika. Prav tako ne shranjujte zasebnih ključev na bastionu in omejite, kdo se lahko prijavi vanj.
Pogoste težave pri povezovanju
Najprej ugotovite, na kateri vmesni točki pride do napake: povežite se samo z bastionom, nato zaženite ssh -vvv z -J, da vidite, kje se povezava ustavi. Če bastion deluje, cilj pa ne, je vzrok običajno požarni zid med njima, napačno notranje ime ali cilj, ki ne sprejema vašega ključa. Strežnik z nastavitvijo AllowTcpForwarding no zavrne vlogo vmesnega gostitelja.
Vmesni gostitelji v CH-J Server Manager
Alpha 0.1.1 se poveže prek shranjenega ali ročno vnesenega vmesnega gostitelja, shranjeni gostitelji pa lahko tvorijo verigo največ treh vmesnih gostiteljev. Ključ gostitelja se preveri na vsaki vmesni točki. Nadzor razpoložljivosti preverja strežnik za vmesnim gostiteljem samo prek odprte seje do tega gostitelja; sicer strežnik prikaže kot nepreverjen, nikoli kot dosegljiv. Beta 0.1.0 te funkcije nima.