如何无视跳板机？

socat

楼主描述太长了，可能理解不太精确。

3个方案：
1. 能否在跳板机上映射一个端口，或者为每个远程服务器分别映射一批端口
比如 10022 -> server1:22
10122 -> server2:22
本地只要连跳板机的 10022端口就相当于连到了server1的22端口

2. 本地用ssh直接映射端口到本地
ssh -fN -L 10022:<server1>:<server1_port> -p <跳板port> <跳板user>@<跳板ip>
ssh -fN -L 10122:<server2>:<server2_port> -p <跳板port> <跳板user>@<跳板ip>

然后 ssh -p 10022 <server1_user>@localhost 就能连到server1
ssh -p 10122 <server2_user>@localhost 就能连到server2

3. 跳板机上架设socks5 proxy服务器（即使有密码也不太安全）
ssh -o "ProxyCommand nc -x <跳板ip>:1080 %h %p" <server1_user>@<server1_ip>

@pubby 是啊，对网络这块不太熟。
3方案明显是不行的，跳板机曾经只能用ssh和scp，连自己目录的东西都不能删，只是最近才开放了点但估计架个服务器是不太现实的了～也不符合不动跳板机的原则。
1方案是否需要被映射的端口常开？能不能只是为了某次特定的任务开一下，然后执行完就关掉？
2方案看着可行噢，就是想知道这个本地端口映射，在跳板机上与两边的是做怎样的连接的？是不是跟普通的ssh长连接没什么区别，然后不可能被运维监控到？

@phuslu 查了一下，貌似很高端啊～

用expect可以自动输入密码，这样最后那个方法就可行了

http://stackoverflow.com/questions/4780893/use-expect-in-bash-script-to-provide-password-to-ssh-command
这里有几个方法，不止expect
不过跳板机应该装不了软件吧，所以还是expect现实

@lequiet
方案2就是
本地用ssh连跳板，并且做了一系列端口映射规则，可以理解为一个通道
localhost:10022 ---> server1:server1_port

于是在你看来，连localhost:10022就相当于连上 server1:server1_port了

这个方法我经常用来rsync同步一些文件到机房内网的某台服务器。


方案3我也经常用，用来连接一些美国的vps，因为美国的vps多数比较慢，但是还是能找一台比较快（ping <200ms）的做proxy，再通过它连其他vps就快很多了。

至于输密码，服务器太多，输密码太痛苦了，用证书吧。

@reusFork 3Q. 关键是expect在哪执行？ 本地和跳板机都有expect但远程服务器没有。在本地执行的话，expect要写跳板机密码、远程服务器密码、远程主机执行某些命令所需的密码，有点烦，不过应该用熟了可以克服～

@lequiet
方案3其实也是可行的，既然跳板机ssh能用，那就能利用ssh在本地映射一个socks5代理端口，把跳板机当代理用的。

就像这样：
ssh -fN -D0.0.0.0:1080 -p <跳板port> <跳板user>@<跳板ip>

ok, localhost:1080就是一个socks5代理了，数据自动走跳板机出去的

@pubby 关键是我们只是客户端开发+服务端少量开发。不是运维不能想怎么搞怎么搞，也不能保证我们配在服务器上的配置运维同学会帮你留着，所以才想一些能在本地放的脚本和配置，在现有的环境下去自动化地操作远程服务器完成我们自己需要经常操作的东西，但不需要像运维那么正式繁琐，只想找些简单快捷clean的方案。

@lequiet expect都是在本地执行，跳板机没有也没问题，它相当是模拟了你的键盘输入

http://blog.51yip.com/linux/1462.html 看下这个，看能不能用上吧

@lequiet 除了证书需要在服务器导入（或者用reusFork的方法看能不能简化输入），方案2、3都不需要去改跳板或者服务器的啊

@pubby 3没听太懂，2我觉得可以去试下，只是自己不太理解这个通道是怎么样的细节～

@reusFork 嗯谢谢，那篇文章可以去看下。expect我的secureCRT脚本就有调用到，深入研究下的话可以达到想要的目的，只是感觉过个跳板机写起来有点烦。所以想采用 @pubby 的方式把原来两层的ssh变成一层，然后用fabric或者(R)?ex这类用python/perl脚本的运维自动化工具去实现那些重复性任务，因为用shell实在是太痛苦了作为一门编程语言的话。

@lequiet 比如一个rsync同步脚本

#!/bin/sh
MAPPED=`sockstat -4l|grep :10022`

if [ "X$MAPPED" = X ] ; then

echo "Frist ,we need map remote ssh port to local via ssh,input password:"
#跳板机passwd
ssh -fN -L 10022:<server_ip>:<server_port> -p <跳板ssh port> <跳板user>@<跳板ip>
fi

echo "Start sync ...."

rsync -ave "ssh -p 10022" /local-data-path/ <server_user>@127.0.0.1:/remote-data-path/

# 需要输入服务器密码

lz安全第一，效率可以一起探讨，很多东西大家都有很好的解决方案，或者可以分机63979找我交流

@pubby 确实可以两层ssh变一层了的感觉，假如要输密码的，那第一个ssh -fN那个，需要输两次密码吗？如果是，那后面那个rsync用到的ssh -p 10022，还需要输密码不？执行完某个任务（比如你的rsync同步任务）需要不需要把第一步建立的ssh通道干掉？

如果需要密码，“ssh -fN -L 10022:<server_ip>:<server_port> -p <跳板ssh port> <跳板user>@<跳板ip> ” 可以用expect来自动输（安全再考虑）

@summic 分机号？？！！ 对于安全方面，你有什么好的建议或者注意事项指导一下？

@lequiet 兄台不是跟张小龙混饭吃的？那我判断错了。这个安全体系的你要绕过去了不等于白做了么？你确信你做的比他们更安全更有效率么？脚本的分发和控制其实可以用私有协议加内部系统来解决

网络连接用SSH代理，把跳板机当作代理；传文件用rzsz，隔多少层ssh都可以直接传文件。

@summic 作为一个开发者，只是想让日常任务更自动化不太浪费时间在敲命令上，现在也不是想绕过去，而是在现在的基础上去自动化。对我而言，如果都能基于ssh，安全级别跟两次ssh连到服务器一样的话，就足够了。

@panzhc 忘了说了～，自己机子属内网机，原则上不能上网，跳板机的访问权限也限于那些远程服务器，所以不太清楚跳板机作代理有什么更好的用途。 至于rzsz的话，在远程服务器、跳板机被禁用了。

@pubby 一开始的方案3肯定是改动最少的方案
ssh的ProxyCommand并非在跳板机上启动一个服务，而是调用netcat或者直接用ssh的built-in netcat mode将两端的IO转发。

把tunneling的脚本改了一个用ProxyCommand版本的

#!/bin/sh
proxy_ncmode='ProxyCommand ssh -W %h:%p bastion_serv'
proxy_nc='ProxyCommand ssh bastion_serv nc -w 10 %h %p'
rsync -avze "ssh -o \"$proxy_ncmode\"" ./tmp/ trapped_me:~/tmp
ssh -o "$proxy_nc" trapped_me uptime
# -- end of script

* bastion_serv 是中间hop跳板机
* trapped_me 是只能从跳板机ssh接入的远程机 (生产环境？)
脚本里两个mode都实验了一下:
* proxy_ncmode 参数是使用 ssh 的netcat mode连接
* proxy_nc 参数是使用 跳板机上的netcat转发,如果跳板机没有netcat，就必须使用 proxy_ncmode模式了。 nc -w 10 表示进程idle10秒后自动断开。


比起tunneling来，这个ProxyCommand mode 不需要对不同远程server指定不同端口转发啦。
（万一生产环境有百来台server呢？)。但前提是远程server们没有做ip限制－如果万一它们只许可 跳板server ip登录，那就只能做端口转发 - 不过我觉得更有可能发生的是，中间跳板机做了防火墙限制端口。。so, 用哪种方法其实要看运气。

* 无密码登录和连接方式是两个不同的问题，搜索一下 key-based authentication吧。
假设没有使用公钥验证，用任何方式连接都要输入两次密码。从安全角度看，那还不如尽快启用公钥认证模式。

这一切都可以配置在 .ssh/config 里

Host ec2main
Port 2255
Hostname 23.*.*.*
IdentityFile ~/.ec2/anotheradmin.pem
Host 192.168.*.*
IdentityFile ~/.ssh/id_rsa
ProxyCommand ssh -NW %h:%p bastion_serv
Host trapped_me
Hostname 192.168.0.1
IdentityFile ~/.ssh/id_rsa
ProxyCommand ssh -NW %h:%p bastion_serv
Host bastion_serv
Hostname *.*.*.*
Host *
User anotheradmin
ForwardAgent yes
Port 2244
IdentityFile ~/.ssh/id_rsa
UsePrivilegedPort no
ServerAliveInterval 240
ServerAliveCountMax 9999


# --- 这个问题我为毛要写这么详细呢， 因为曾为小公司SA， 真的非常非常想恳求大家别再用expect拉， 特别是千万别放在跳板机啊。

我知道的有两种方案：
1. fabric有个gateway参数，可以以类似proxy的方式通过跳板机在远程机器上批量执行命令，这个本人亲自验证过，只是fabric对这一点支持还不是很好，需要自己折腾。

2. 多重expect，仅觉得从原理上可行。

另外，楼主是不是蓝汛的呀

http://pastebin.com/7qa7rp5i
回复中有格式的 ~/.ssh/config

估计LZ被当成腾讯的了...

你们只能从跳板机ssh到其它机器吗？能不能 从跳板机到a然后再在a上ssh到b？

@arbeitandy 哈哈你写得好详细，但是我看不懂，对我们来说，方便肯定是比安全考虑得更多啊。。expect我在跳板机上有调用过，但发现history里会有明文的，所以打算每跑一次脚本自动再rm ~/.bash_history， 不知还有别的地方会log我敲的命令不？
反过来说说，如果不想让大家太麻烦，就应该给我们开发的提供下方便，谁有空两一天到晚敲一串长长的scp，尤其是在找问题的时候。