اتصال امن SSH به سرور داخلی با ProxyJump و پرچم ‎-J

اگر سرور مقصد داخل یک شبکه داخلی باشد، احتمالاً برای رسیدن به آن باید از یک ماشین واسط یا Jump Host عبور کنید. پرچم -J در SSH این مسیر را ساده می‌کند و اجازه می‌دهد بدون کپی‌کردن کلید خصوصی روی ماشین واسط، مستقیماً به مقصد متصل شوید.

#نکات کلیدی

• پرچم -J اتصال به سرور مقصد را از طریق Bastion برقرار می‌کند.
• کلید خصوصی روی سیستم خودتان باقی می‌ماند و روی ماشین واسط کپی نمی‌شود.
• می‌توانید چند Jump Host را پشت سر هم تعریف کنید.
• scp و rsync نیز از همین روش پشتیبانی می‌کنند.
• با ProxyJump در فایل تنظیمات، اتصال‌های تکراری کوتاه‌تر می‌شوند.

#اتصال مستقیم از طریق ماشین واسط

در روش معمول، ابتدا با SSH وارد Bastion می‌شوید و بعد از همان‌جا یک اتصال SSH دیگر به مقصد می‌زنید. این روش کار می‌کند، اما مدیریت کلیدها و انتقال فایل را به فرایندی دو مرحله‌ای تبدیل می‌کند.

با دستور زیر، SSH ابتدا به ماشین واسط متصل می‌شود و درون همان اتصال، تونلی به مقصد می‌سازد:

bashکپی
ssh -J user@bastion user@target

احراز هویت سرور مقصد از طرف سیستم خودتان انجام می‌شود؛ بنابراین کلید خصوصی روی دستگاه شما باقی می‌ماند و نیازی به Agent Forwarding و ریسک امنیتی آن نیست.

#چند Jump Host و پورت غیراستاندارد

اگر مسیر دسترسی شما چند ماشین واسط دارد، کافی است آن‌ها را با کاما از یکدیگر جدا کنید:

bashکپی
ssh -J user@hop1,user@hop2 user@target

برای Bastion با پورت غیراستاندارد نیز شماره پورت را کنار نشانی آن قرار دهید:

bashکپی
ssh -J user@bastion:2222 user@target

این قابلیت به اتصال تعاملی محدود نیست. برای انتقال فایل با scp یا همگام‌سازی پوشه‌ها با rsync هم می‌توانید همان مسیر را مشخص کنید:

bashکپی
scp -J user@bastion file.txt user@target:/tmp/
rsync -e "ssh -J user@bastion" -av ./dir user@target:/srv/

#کوتاه‌کردن دستور با ProxyJump

اگر مرتب به یک مقصد مشخص وصل می‌شوید، تنظیمات آن را در فایل ~/.ssh/config قرار دهید:

textکپی
Host target
 HostName 10.0.0.15
 User sohrab
 ProxyJump bastion

پس از آن، فقط اجرای ssh target کافی است. پرچم -J در واقع میان‌بری برای ProxyJump است و از OpenSSH نسخه 7.3 به بعد در دسترس قرار دارد. این روش جایگزین ساده‌تری برای تنظیمات قدیمی‌تر مبتنی بر ProxyCommand و nc است.

#جمع‌بندی

اگر برای ورود به سرورهای داخلی از Bastion استفاده می‌کنید، ssh -J مسیر اتصال و انتقال فایل را برای شما کوتاه‌تر می‌کند. مهم‌تر اینکه کلید خصوصی‌تان روی سیستم خودتان می‌ماند و لازم نیست آن را به ماشین واسط منتقل کنید.