Truedoc

h1. Accesso SSH a reti interne tramite bastion host

Esistono diversi casi in cui può essere necessario fornire a singoli utenti un accesso con SSH a delle macchine disposte in una rete interna, e non si vuole fornire un accesso generico con una VPN, ma solo un collegamento SSH verso una singola macchina. Per ottenere questo risultato si può sfruttare, posto che sia raggiungibile con SSH, un firewall (o in generale un bastion host che si affacci su detta rete) appoggiandosi ad una delle funzionalità avanzate del servizio, il cosiddetto "Proxy Jump", introdotto con OpenSSH 7.3 (rilasciata nell'agosto 2016) e ormai disponibile su tutte le distribuzioni recenti.

Questa funzionalità prevede che si possa, passando attraverso una macchina a cui si ha accesso in SSH (che farà da proxy), avere un reinoltro in maniera trasparente della connessione SSH verso un'altra macchina da questa raggiungibile. 

In questo modo si può effettuare una connessione verso un IP di una rete interna avendo cura di indicare qual è la macchina che si intende usare come proxy con l'opzione @-J@.  Solo quest'ultimaa dovrà essere raggiungibile da Internet, ma passando attraverso di essa ci si potrà collegare utilizzando direttamente l'indirizzo interno (o un nome a piacere, come vedremo più avanti). 

!bastion.png!

Uno schema elementare della rete è quello illustrato in figura, per collegarsi alla macchina server sull'indirizzo interno @192.168.42.105), si potrà allora utilizzare il comando:

<pre>

ssh -J utenteX@bastion.truelite.it utenteY@192.168.42.105

</pre>