SSH agent forwarding 的便利与风险

2025-01-04 · 3 分钟系统

ssh -A 把本地 agent 转发到远端，方便从跳板继续跳到内网机器，不用把私钥复制过去。

风险在于：远端 root 可以借用这个 socket 认证到任何信任该公钥的机器，而你不会收到提示。被入侵的跳板机等于拿到了你所有机器的通行证。

更安全的替代是 ProxyJump：连接由本地发起，密钥始终不出本机。

Host internal
    HostName 10.0.1.5
    ProxyJump jump

如果确实需要转发，限制用途：用 ssh-add -t 300 给密钥加有效期，用完 ssh-add -D 清空；在 ~/.ssh/config 里只对特定主机开 ForwardAgent yes，不要全局开。

看当前 agent 里有什么：ssh-add -l。