Configurazione aggiuntiva richiesta per l'inoltro di ssh-agent?

Questa guida fa un ottimo lavoro spiegando come ssh-agent funziona su più sistemi. Vorrei impostare l'inoltro come nell'ultima serie di diagrammi, ma ho problemi a rintracciare i passaggi necessari per farlo.

Per alcune macchine sulla mia rete, posso ssh da A a B, quindi da B a C, senza mai inserire una password di certificato. Altre macchine, tuttavia, forniscono un "Impossibile aprire una connessione al tuo agente di autenticazione" (a volte!), Quindi non inoltrano le mie informazioni di autenticazione. SSHing da una di queste macchine a un'altra casella della rete richiede nuovamente la mia password della chiave privata.

Non ho costruito queste macchine, ma posso amministrarne alcune. Non so per certo quale sia la differenza tra boxen che funzionano e quelli che non lo fanno - potrebbe essere un problema con il firewall, la configurazione di ssh / ssh-agent / sshd, qualsiasi cosa, e non vedo alcun passaggio- guide dettagliate specifiche per l' inoltro che fluttuano intorno alla rete. Devo solo sapere da dove iniziare a inseguire questo problema.

L'inoltro dell'agente ssh deve essere consentito sul client ( ForwardAgentopzione in ~/.ssh/config) e sul server ( AllowAgentForwardingopzione in sshd_config). È probabile che le tue macchine abbiano impostazioni predefinite diverse per una o entrambe queste opzioni.

Se stai andando A-> B-> C, l'inoltro non è necessario sul passaggio B-> C (a meno che tu non vada quindi C-> D ovviamente).

Quando sei loggato in B, controlla che la variabile d'ambiente SSH_AUTH_SOCKsia definita. Il suo valore è sshsapere come contattare l'agente.

Non vi è alcuna buona ragione per vietare l'inoltro dell'agente nel server, dato che l'inoltro dell'agente rende il client vulnerabile al server e non il contrario, e che in linea di principio è possibile impostare l'inoltro dell'agente manualmente (anche se non ci sarebbe molto da fare da allora la difficoltà di installarlo vanificherebbe la convenienza dell'inoltro dell'agente).

Mentre hai già la risposta giusta di @Gilles sopra, volevo sottolineare che AllowAgentForwardingè supportato solo da OpenSSH 5.1 in poi.

I server OpenSSH precedenti alla 5.1, da quello che ho visto nella mia scatola RHEL 4u5, consentono l'inoltro dell'agente per impostazione predefinita. Quindi se il tuo server è più vecchio di 5.1 e l'inoltro dell'agente non funziona, il problema è probabilmente nel client ssh. Poiché l'inoltro sembra funzionare per alcune macchine, sembra che l' /etc/ssh/ssh_configinstallazione sia corretta. Verifica ~/.ssh/configse sono state fatte eccezioni per disabilitare l'inoltro dell'agente per le caselle interessate.

Rif: http://www.openssh.org/txt/release-5.1