我可以让 SSH ForwardAgent 和 ProxyJump 与 Git 一起工作吗？

Question

我有两台电脑；我的工作站和一台笔记本电脑用来运行我的公司 VPN。我需要通过 VPN 才能访问我的 Git 远程 (BitBucket)。

我的工作站上运行了一个 SSH 代理，其中包含连接到 Git 远程所需的 SSH 密钥。我已将 SSH 配置为在连接到笔记本电脑时转发我的 SSH 代理：

Host my-laptop
    ForwardAgent yes

如果我使用 SSH 连接到我的笔记本电脑，我可以成功git pull，并且ssh-agent -l 确认 SSH 代理已正确转发。到目前为止一切顺利！

挑战如下：我想直接从我的工作站使用 git。这应该可能是通过我的笔记本电脑将 SSH 配置为代理。我的 git 遥控器看起来像这样：

➜ git remote -v
origin  ssh://git@bitbucket.my-company.com:7999/my-team/my-project.git (fetch)
origin  ssh://git@bitbucket.my-company.com:7999/my-team/my-project.git (push)

所以我添加了这个 SSH 配置：

Host *.my-company.com
    ProxyJump my-laptop

代理跳转成功了，因为现在我到达了 Git 遥控器！ ????

但是，身份验证失败：

git@bitbucket.my-company.com：权限被拒绝（公钥）。
致命：无法从远程存储库读取。

请确保您拥有正确的访问权限
并且存储库存在。
退出状态 128

所以在代理命令时显然 SSH 代理转发不起作用..？

我尝试过的故障排除步骤：

• 使用 SSH 连接到笔记本电脑并运行 git pull - 它可以工作

• 直接在笔记本电脑上运行git pull - 它可以工作

• 添加IdentityFile 和IdentitiesOnly 以强制使用正确的键，没有任何区别：

  Host *.my-company.com
      ProxyJump my-laptop
      IdentityFile ~/.ssh/hubro@my-company.com.key
      IdentitiesOnly yes
  

• 在连接Git远程主机时添加ForwardAgent yes，并没有什么区别：

  Host *.my-company.com
      ProxyJump my-laptop
      ForwardAgent yes
      IdentityFile ~/.ssh/hubro@my-company.com.key
      IdentitiesOnly yes
  

那么为什么在运行 git 命令时不使用我的本地 SSH 代理？

Answer 1

事实证明，在这个设置中我什至不需要 SSH 代理转发，因为 ProxyJump 设置设置了一个隧道，让我的工作站可以“直接”与 git 远程通信。

我收到“Permission denied (publickey)”错误的原因是我的发行版 (Arch) 是最新的，并且默认情况下已经禁用了对“ssh-rsa”密钥的支持。 （在撰写本文时，Arch linux 附带 openssh 8.8p1）

令人沮丧的是，我用“rsa-sha2-512”生成我的密钥并不重要，这应该是安全的，我的 SSH 客户端仍然没有它。

但是，我改用 ed25519 生成了一个新密钥，这解决了我的问题。

$ ssh-keygen -t ed25519

Answer 2

在您的情况下，您不需要代理转发，因为您不想将密钥转发到 bitbucket.my-company.com 服务器，您只想在那里进行身份验证。

转发中间代理拥有的密钥不能使用ForwardAgent。

您需要工作站上的正确密钥，但该密钥似乎只存在于您的笔记本电脑上 (Running git pull directly from the laptop - it works)。

1. 您可以将私钥从笔记本电脑复制到工作站
2. 您可以将密钥从笔记本电脑转发到一个终端中的工作站，然后在另一个终端中将该密钥与 git 一起使用