Vad en hopserver gör
En hopserver, även kallad bastion, är en server som du kan nå direkt och som kan nå dina interna servrar. Endast bastionens SSH-port är exponerad; de interna servrarna accepterar SSH enbart från det interna nätverket. Med ProxyJump öppnar klienten en SSH-anslutning till bastionen och en andra anslutning genom den till målet, med kryptering hela vägen mellan ändpunkterna. Bastionen vidarebefordrar trafiken men ser inte sessionens innehåll, och din privata nyckel stannar på din dator.
Anslut från kommandoraden
Alternativet -J anger hopservern. Skilj flera hopp åt med kommatecken; de används i den ordning du anger. Lägg inställningarna i ~/.ssh/config om du använder samma väg regelbundet, så räcker ett kort alias.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleVerifiera varje värdnyckel
Varje hopp är en separat SSH-server med en egen värdnyckel, så bekräfta fingeravtrycken för både bastionen och målet via en annan betrodd kanal. En ändrad nyckel vid något hopp kräver samma uppmärksamhet som vid en direktanslutning. Jämför fingeravtrycket som visas vid den första anslutningen med det värde som en administratör läser av på servern.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256Välj ProxyJump framför agentvidarebefordran
Agentvidarebefordran (ssh -A) låter alla med tillräckliga rättigheter på bastionen använda dina inlästa nycklar medan du är ansluten. ProxyJump behöver inte detta, eftersom autentiseringen mot målet sker från din egen dator. Undvik också att lagra privata nycklar på bastionen och begränsa vilka som får logga in där.
Vanliga anslutningsfel
Ta först reda på vilket hopp som misslyckas: anslut enbart till bastionen och kör sedan ssh -vvv med -J för att se var anslutningen stannar. Om bastionen fungerar men inte målet beror det oftast på en brandvägg mellan dem, ett felaktigt internt namn eller att målet inte accepterar din nyckel. En server med inställningen AllowTcpForwarding no vägrar fungera som hopserver.
Hopservrar i CH-J Server Manager
Alpha 0.1.1 ansluter via en sparad eller manuellt angiven hopserver, och sparade värdar kan bilda en kedja med upp till tre hopservrar. Värdnyckeln kontrolleras vid varje hopp. Tillgänglighetsövervakningen kontrollerar en server bakom en hopserver endast via en öppen session till den hopservern; annars visas servern som ej verifierad, aldrig som online. Beta 0.1.0 saknar den här funktionen.