堡垒服务器：使用TCP转发VS在服务器上放置私钥
我们有堡垒服务器B。我们需要使用私钥从A到B到C进行SSH。 有什么更好的选择： 将私密SSH密钥放在服务器 B 上。我们了解到，在生产环境中执行此操作不是一个好主意。 从这里： 切勿将SSH私钥放在堡垒实例上。而是使用SSH代理转发来首先连接到该堡垒，然后再从那里连接到私有子网中的其他实例。这样，您就可以仅在计算机上保留SSH私钥。 使用SSH代理转发。为了设置代理转发，我需要允许TCP转发。设置代理转发时，将在转发主机上创建一个套接字文件，这是将密钥转发到目标的机制。在AWS的堡垒设置中： TCP转发：将此值设置为true将启用TCP转发（SSH隧道）。这可能非常有用，但同时也存在安全风险，因此我们建议您保留默认（禁用）设置，除非需要 也从这里： SSH代理转发被认为是有害的 什么是更好的？第二个链接的替代方法是什么：ProxyCommand，我知道它可以解决套接字文件问题，但是我仍然认为我必须启用TCP转发，这样是否足够安全？