K čemu slouží přestupní server
Přestupní server, označovaný také jako bastion, je server, ke kterému se můžete připojit přímo a který má přístup k vašim interním serverům. Zvenčí je dostupný pouze SSH port bastionu; interní servery přijímají SSH spojení jen z interní sítě. S ProxyJump klient otevře jedno SSH spojení k bastionu a druhé, koncově šifrované spojení přes něj k cíli. Bastion provoz předává dál, ale nevidí obsah relace a váš soukromý klíč zůstává na vašem počítači.
Připojení z příkazového řádku
Volba -J určuje přestupní server. Více mezilehlých serverů oddělte čárkami; použijí se v zadaném pořadí. Pokud stejnou trasu používáte pravidelně, přidejte nastavení do ~/.ssh/config, aby stačil krátký alias.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleOvěřte každý klíč hostitele
Každý mezilehlý server je samostatný SSH server s vlastním klíčem hostitele, proto otisk klíče bastionu i cíle potvrďte jiným důvěryhodným kanálem. Změna klíče v kterémkoli kroku vyžaduje stejnou pozornost jako u přímého spojení. Porovnejte otisk nabídnutý při prvním připojení s hodnotou, kterou správce zjistí na serveru.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256Dejte přednost ProxyJump před přeposíláním agenta
Přeposílání agenta (ssh -A) umožňuje komukoli s dostatečnými právy na bastionu používat vaše načtené klíče po dobu připojení. ProxyJump ho nepotřebuje, protože ověření vůči cíli probíhá z vašeho počítače. Neukládejte na bastion ani soukromé klíče a omezte, kdo se k němu smí přihlásit.
Běžné problémy
Nejprve zjistěte, ve kterém kroku spojení selhává: připojte se pouze k bastionu a pak spusťte ssh -vvv s -J, abyste viděli, kde se spojení zastaví. Pokud bastion funguje, ale cíl ne, příčinou bývá firewall mezi nimi, nesprávný interní název nebo cíl, který nepřijímá váš klíč. Server s nastavením AllowTcpForwarding no odmítne fungovat jako přestupní server.
Přestupní servery v CH-J Server Manager
Alpha 0.1.1 se připojuje přes uložený nebo ručně zadaný přestupní server a uložené servery mohou tvořit řetězec až tří přestupních serverů. Klíč hostitele se kontroluje v každém kroku. Monitor dostupnosti kontroluje server za přestupním serverem pouze přes otevřenou relaci k tomuto přestupnímu serveru; jinak jej zobrazuje jako neověřený, nikdy jako online. Beta 0.1.0 tuto funkci nemá.