Как передать пароль при использовании Jump Server?

У меня есть Jump Server и Target Server, к которым я хотел бы подключиться так:

myPc > JumpServer > TargetServer

На первом этапе я могу выполнить ssh-keygen, чтобы избежать аутентификации по паролю, однако на шаге 2, из-за соображений безопасности, ssh-keygen не был установлен, и я ничего не могу с этим поделать. Поэтому я подумал о том, чтобы передать пароль в одной команде на моем ПК. Вот что я пробовал до сих пор:

sshpass -p myPassword ssh -At username@JumpServer ssh -A username@targetServer

ssh -J username@JumpServer username@targetServer

Но ни один из вариантов не работает, есть какие-нибудь советы?

Сначала решите, хотите ли вы соединять ssh в цепочку или хотите “вложенные трубки”, которые дает ssh -J. Прочитайте мой ответ, чтобы понять, что я имею в виду. Вы пробовали оба варианта, и неясно, что именно вам нужно. В целом ssh -J лучше (например, переадресация портов или выделение tty проще, чем в случае цепочки).

• Если вы хотите ssh -J (я рекомендую это), то важны только ключи, доступные вашему локальному ssh. Никакой SSH-клиент не будет вызван на промежуточном хосте. Ваши приватные ключи (если есть) на промежуточном хосте не будут иметь значения, поэтому тот факт, что вы не можете запустить ssh-keygen для их создания, не важен; они все равно не пригодятся. Ваша локальная идентичность может быть использована для аутентификации на промежуточном хосте и на целевом сервере. Я предполагаю, что вы запустили ssh-keygen локально. Сначала зарегистрируйте ваш ключ на промежуточном хосте, выполнив следующую команду локально:

  ssh-copy-id username@JumpServer
  

  Затем используйте промежуточный хост для подключения к целевому серверу и зарегистрируйте ваш ключ там. Выполните это локально:

  ssh-copy-id -o ProxyJump=username@JumpServer username@targetServer
  

  ^{Обратите внимание, что ssh -J … является сокращением для указания ssh -o ProxyJump=…, но поскольку ssh-copy-id не поддерживает -J, мы должны были использовать другую синтаксис здесь.}

  Теперь, если оба сервера настроены на разрешение аутентификации на основе ключей, вы сможете выполнить ssh -J username@JumpServer username@targetServer с вашего локального компьютера.

• Если вы хотите соединять ssh в цепочку, то разумно иметь приватный ключ на промежуточном хосте и использовать его для аутентификации при подключении к целевому серверу. Я понимаю, что вы не можете запустить ssh-keygen на промежуточном хосте. Вы все равно можете создать ключ локально, зарегистрировать его на целевом сервере и переместить (или скопировать) пару ключей на промежуточный хост, так что файлы будут там так, как будто вы создали их там с ssh-keygen.

В общем, каждый SSH-сервер может быть настроен так, чтобы запрещать определенные действия, и это может ограничить ваши возможности или наложить определенные действия. Например, если вам удалось заставить промежуточный хост принять ваш ключ, но целевой сервер запрашивает пароль, несмотря ни на что, то эта локальная команда будет полезной:

sshpass -p'myPassword' ssh -J username@JumpServer username@TargetServer

^{(Эта идея уже была опубликована в комментарии.)}

Примечания:

• sshpass -f… следует предпочесть sshpass -p….
• Сервер может использовать пользовательское приглашение для пароля, поэтому, возможно, вам нужно сообщить sshpass, какое приглашение ожидать (пример).