SSH através da diferença do servidor Bastion entre o relogin e o proxy

Question

Eu não sou muito versado no funcionamento interno do SSH, etc. Portanto, tenha paciência comigo. Estamos usando um servidor Bastion através do qual as pessoas precisam do SSH para fazer seu trabalho. Normalmente, isso seria o SSH para o bastião e, em seguida, o SSH para algum servidor.

Minha pergunta é: Existe uma diferença real (técnica, desempenho e segurança) entre usar dois logins (1 para o Bastion 1 para o servidor) e usar o comando -W com ssh para proxy?

Então, diferença em fazer:

ssh user1@bastion
ssh user2@server 

e

ssh user1@bastion -W user2@server

(não tenho certeza se esse segundo tem a sintaxe correta, pois não uso, mas acho que você entendeu)

O login é primeiro com um determinado usuário com login / senha e o segundo com o servidor com os par de chaves.

    

Answer 1

No caso de "relogin", o segundo cliente está sendo executado no host bastion.

• O seu par de chaves deve estar no bastião ou você precisa usar o "encaminhamento de agente" do SSH para conceder acesso restrito ao par de chaves.
• Quaisquer encaminhamentos TCP ( ssh -L ) devem ser configurados duas vezes - uma vez ao se conectar ao host bastião, uma vez ao se conectar ao servidor real.
• Além disso, o host de bastiões pode ver tecnicamente tudo o que você digita e tudo que você recebe por meio desse túnel SSH.
• Uma vantagem, no entanto, é que você poderia usar o Mosh para se conectar ao host bastion (e ao SSH regular a partir daí).

Quando ssh -J ou um comando de proxy é usado, o segundo cliente está sendo executado localmente .

• Isso significa que a autenticação somente precisa acontecer localmente.
• Os encaminhamentos TCP só precisam ser processados uma vez.
• O servidor de bastiões só vê o tráfego SSH criptografado, não a entrada / saída real.
• No entanto, esse modo adiciona alguma sobrecarga extra, pois você tem SSH em SSH; em termos de tráfego de rede e uso da CPU.