جمپ ہوسٹ کا کام
جمپ ہوسٹ، جسے bastion بھی کہتے ہیں، ایسا سرور ہے جس تک آپ براہ راست پہنچ سکتے ہیں اور جو آپ کے اندرونی سرورز تک پہنچ سکتا ہے۔ صرف bastion کا SSH پورٹ باہر سے قابل رسائی ہوتا ہے؛ اندرونی سرورز صرف اندرونی نیٹ ورک سے SSH قبول کرتے ہیں۔ ProxyJump کے ساتھ آپ کا کلائنٹ bastion تک ایک SSH کنکشن اور اس کے ذریعے ہدف تک دوسرا، سرے سے سرے تک مرموز کنکشن کھولتا ہے۔ bastion ٹریفک آگے بھیجتا ہے لیکن سیشن کا مواد نہیں دیکھتا، اور آپ کی نجی کلید آپ کے کمپیوٹر پر ہی رہتی ہے۔
کمانڈ لائن سے جڑیں
آپشن -J جمپ ہوسٹ متعین کرتا ہے۔ متعدد ہاپس کو کوما سے الگ کریں؛ انہیں اسی ترتیب سے استعمال کیا جاتا ہے جو آپ دیتے ہیں۔ جب باقاعدگی سے ایک ہی راستہ استعمال کریں تو ترتیبات ~/.ssh/config میں شامل کر دیں تاکہ ایک مختصر عرف کافی ہو۔
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleہر ہوسٹ کی کلید کی تصدیق کریں
ہر ہاپ ایک الگ SSH سرور ہے جس کی اپنی ہوسٹ کلید ہے، اس لیے bastion اور ہدف دونوں کے فنگرپرنٹ کی تصدیق کسی دوسرے معتبر ذریعے سے کریں۔ کسی بھی ہاپ پر کلید بدلنے کو اتنی ہی توجہ دیں جتنی براہ راست کنکشن پر دیتے ہیں۔ پہلے کنکشن کے وقت پیش کیے گئے فنگرپرنٹ کا موازنہ اس قدر سے کریں جو منتظم سرور پر پڑھتا ہے۔
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256ایجنٹ فارورڈنگ پر ProxyJump کو ترجیح دیں
ایجنٹ فارورڈنگ (ssh -A) سے bastion پر کافی اختیارات رکھنے والا کوئی بھی شخص آپ کے جڑے رہنے کے دوران آپ کی لوڈ کردہ کلیدیں استعمال کر سکتا ہے۔ ProxyJump کو اس کی ضرورت نہیں، کیونکہ ہدف پر توثیق آپ کے اپنے کمپیوٹر سے ہوتی ہے۔ bastion پر نجی کلیدیں محفوظ کرنے سے بھی گریز کریں اور وہاں لاگ ان کی اجازت محدود لوگوں کو دیں۔
عام ناکامیاں
پہلے معلوم کریں کہ کون سا ہاپ ناکام ہو رہا ہے: صرف bastion سے جڑیں، پھر -J کے ساتھ ssh -vvv چلائیں تاکہ پتا چلے کنکشن کہاں رکتا ہے۔ اگر bastion کام کرتا ہے مگر ہدف نہیں، تو وجہ عموماً دونوں کے درمیان فائر وال، غلط اندرونی نام یا ایسا ہدف ہوتا ہے جو آپ کی کلید قبول نہیں کرتا۔ AllowTcpForwarding no کے ساتھ ترتیب دیا گیا سرور جمپ ہوسٹ کا کردار ادا کرنے سے انکار کرتا ہے۔
CH-J Server Manager میں جمپ ہوسٹس
Alpha 0.1.1 محفوظ کردہ یا دستی طور پر درج کیے گئے جمپ ہوسٹ کے ذریعے جڑتا ہے، اور محفوظ ہوسٹس زیادہ سے زیادہ تین جمپ ہوسٹس کی زنجیر بنا سکتے ہیں۔ ہر ہاپ پر ہوسٹ کلید کی جانچ ہوتی ہے۔ دستیابی مانیٹر جمپ ہوسٹ کے پیچھے موجود سرور کو صرف اسی جمپ ہوسٹ تک کھلے سیشن کے ذریعے جانچتا ہے؛ ورنہ سرور کو غیر تصدیق شدہ دکھاتا ہے، کبھی بھی آن لائن نہیں۔ Beta 0.1.0 میں یہ خصوصیت نہیں ہے۔