Was ein Sprungserver leistet
Ein Sprungserver, auch Bastion genannt, ist ein Server, den Sie direkt erreichen können und der Ihre internen Server erreichen kann. Nur der SSH-Port der Bastion ist von außen erreichbar; die internen Server akzeptieren SSH nur aus dem internen Netzwerk. Mit ProxyJump öffnet Ihr Client eine SSH-Verbindung zur Bastion und eine zweite, durchgehend verschlüsselte Verbindung über sie zum Ziel. Die Bastion leitet den Verkehr weiter, kann aber den Sitzungsinhalt nicht sehen, und Ihr privater Schlüssel bleibt auf Ihrem Computer.
Über die Befehlszeile verbinden
Die Option -J gibt den Sprungserver an. Trennen Sie mehrere Zwischenstationen durch Kommas; sie werden in der angegebenen Reihenfolge verwendet. Wenn Sie dieselbe Route regelmäßig nutzen, tragen Sie die Einstellungen in ~/.ssh/config ein, damit ein kurzer Alias genügt.
ssh -J admin@bastion.example admin@app.internal
ssh -J admin@bastion.example,ops@hop2.example admin@app.internal
# ~/.ssh/config
Host app-internal
HostName app.internal
User admin
ProxyJump admin@bastion.exampleJeden Hostschlüssel prüfen
Jede Zwischenstation ist ein eigener SSH-Server mit eigenem Hostschlüssel. Bestätigen Sie daher den Fingerabdruck der Bastion und des Zielservers über einen anderen vertrauenswürdigen Kanal. Ein geänderter Schlüssel an einer beliebigen Station verdient dieselbe Aufmerksamkeit wie bei einer direkten Verbindung. Vergleichen Sie den beim ersten Verbindungsaufbau angezeigten Fingerabdruck mit dem Wert, den ein Administrator auf dem Server abliest.
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256ProxyJump der Agent-Weiterleitung vorziehen
Agent-Weiterleitung (ssh -A) ermöglicht allen mit ausreichenden Rechten auf der Bastion, Ihre geladenen Schlüssel zu verwenden, solange Sie verbunden sind. ProxyJump benötigt sie nicht, da die Authentifizierung am Ziel von Ihrem eigenen Computer aus erfolgt. Speichern Sie auch keine privaten Schlüssel auf der Bastion und beschränken Sie, wer sich dort anmelden darf.
Häufige Fehler
Stellen Sie zunächst fest, an welcher Station die Verbindung scheitert: Verbinden Sie sich nur mit der Bastion und führen Sie dann ssh -vvv mit -J aus, um zu sehen, wo die Verbindung abbricht. Funktioniert die Bastion, aber das Ziel nicht, liegt es meist an einer Firewall dazwischen, einem falschen internen Namen oder daran, dass das Ziel Ihren Schlüssel nicht akzeptiert. Ein Server mit der Einstellung AllowTcpForwarding no verweigert den Einsatz als Sprungserver.
Sprungserver in CH-J Server Manager
Alpha 0.1.1 verbindet sich über einen gespeicherten oder manuell eingegebenen Sprungserver. Gespeicherte Hosts können eine Kette aus bis zu drei Sprungservern bilden. Der Hostschlüssel wird an jeder Station geprüft. Die Verfügbarkeitsüberwachung prüft einen Server hinter einem Sprungserver nur über eine offene Sitzung zu diesem Sprungserver; andernfalls zeigt sie den Server als nicht verifiziert an, niemals als online. Beta 0.1.0 bietet diese Funktion nicht.