你们都是怎么登录公司服务器的？

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

This topic created in 3908 days ago, the information mentioned may be changed or developed.

用 ssh的agent forward 功能可以避免在服务器上放私钥，但是有可能被人利用（借助 SSH_AUTH_SOCK ），进行身份伪造，想知道大家的公司都是怎么做的

私钥

服务器

agent

FORWARD

21 replies • 2015-09-27 16:50:21 +08:00

cxbig

Sep 25, 2015

为啥要在服务器放私钥？？？

Ghoul2005

Sep 25, 2015 via iPhone

如果你是用自己电脑登陆公司服务器，那服务器上放的是公钥，自己电脑上放的是私钥，公钥是可以公开的，你是不是搞错了。

lcj2class

Sep 26, 2015 via iPhone

@Ghoul2005 @cxbig

假设有 3 个 server ， A 、 B 、 C

如果没有私钥或 agent forward ，怎么从 A 到 B 或到 C 呢？

不可能每次都从本地登陆吧

cxbig

Sep 26, 2015

@lcj2class
不明白为什么要这样跳跃登陆，能说明用途么？ 3 台不同的机器都从本地登陆有什么不妥？

binss

Sep 26, 2015

@cxbig 敏感业务需要跳板机

cattyhouse

Sep 26, 2015 via iPhone

man ssh, 阅读 -W 参数。大些的 W

lcj2class

Sep 26, 2015 via iPhone

@cxbig
一个很简单场景，想从 A 上拷贝一个 10G 的文件到 B ，内网传输应该没什么问题，直接 scp 即可。但是如果 A 不能直接登录 B ，那你会怎么办？

cattyhouse

Sep 26, 2015 via iPhone

ProxyCommand ssh -q -W %h:%p relay

relay 就是那个中转服务器

9hills

Sep 26, 2015

@binss 跳板机是不允许 agent forward 的，允许了 agent forward 跳板机的意义何在

建议搜索 kerberos ，可以和 LDAP 整合，实现跳板机的安全通信

v2gba

Sep 26, 2015

我司是每人有一台内网 vps 和本机拥有一样的权限

但是所有测试服务器之间默认是无法互相访问的（因为会经常 wipe ，重新 deploy ）

有时候懒就直接 forward 了
不懒的话用内网的 vps 中转 scp 一下

lshero

Sep 26, 2015

之前的公司 VPN 拨号动态口令授权虚拟机作为跳板机审计

现在的公司只给预上线可读权限的私钥,懒得掰扯，一般也就是预上线好即可视为代码没问题

自己的 VPS 和服务器之类的多数情况下用 guacamole 之类的访问有内网的 VPN 互联绑定内网

crazycen

Sep 26, 2015 via Android

xendesktop

leehomsf

Sep 26, 2015

telnet 登陆对外，再 telnet ，访问机房内 BAS ， OLT ，实话说刚开始知道是这样的吓一跳完全没有任何安全可言，而且都是除了对外账户密码有修改，其他设备都是默认账户密码，这些设备可是带了几十万的宽带用户，不过这些数据都有实时备份，而且是多个系统协同使用。所以就算单独破坏设备数据也是无所谓的了。