이 가이드에서는 에이전트 없는 모드로 Teleport를 구성하고 OpenSSH 서버 sshd가 Teleport 클러스터에 참여하게 하는 방법을 보여줍니다. 기존의 OpenSSH 서버 플릿은 Teleport CA에서 동적으로 발급된 SSH 인증서를 수락하도록 구성할 수 있습니다.

Teleport와 OpenSSH를 사용하면 빠르게 시작할 수 있다는 장점이 있지만, 장기적으로는 sshd를 teleport로 교체하는 것을 권장합니다. teleport SSH 서버는 OpenSSH와 호환되지 않는 여러 기능을 지원합니다:

• 동적으로 업데이트된 레이블을 기반으로 한 RBAC 및 리소스 필터링
• SSH 연결 종료 없는 세션 녹화
• 세션 공유
• 고급 세션 녹화

작동 방식#

높은 수준에서 Teleport는 프록시 서비스를 통해 SSH 연결을 프록시하여 OpenSSH 서버를 지원합니다. OpenSSH 서버는 사용자의 직접 연결을 신뢰하는 대신 프록시 서비스의 연결을 신뢰하도록 설정됩니다. 이렇게 하면 OpenSSH 서버에 대한 모든 연결이 세션 IO와 감사 이벤트를 기록하고 RBAC를 적용할 수 있는 프록시 서비스를 통해 이루어집니다.

작동 방식에 대한 자세한 내용은 등록된 OpenSSH 노드 RFD를 참조할 수 있습니다. 다음은 RFD의 몇 가지 핵심 세부 사항입니다:

• 프록시 서비스는 사용자를 대신하여 Auth 서비스에서 Teleport OpenSSH CA로 서명된 인증서를 요청할 수 있는 고유한 기능을 갖추고 있으며, OpenSSH 서버는 이 CA로 서명된 인증서만 신뢰하도록 설정됩니다. 따라서 OpenSSH 서버에 연결하려면 사용자가 프록시 서비스를 통해 연결하여 OpenSSH 인증서를 요청하고 사용해야 합니다.
• 사용자를 OpenSSH 서버에 연결하기 전에 프록시 서비스는 사용자가 액세스할 수 있는지 RBAC 확인을 수행합니다.
• 세션과 감사 이벤트를 기록하기 위해 프록시 서비스는 클라이언트 SSH 연결을 종료(복호화)하고 OpenSSH 서버와 자체 연결을 설정합니다. 그런 다음 두 연결 사이에서 파이프 역할을 하며 이벤트와 IO를 기록합니다.
  • 자세한 내용은 녹화 프록시 모드를 참조하세요.

사전 요구 사항#

• 로컬 머신의 OpenSSH 버전 6.9 이상. 다음 명령으로 OpenSSH 버전을 확인하세요:

  $ ssh -V
  

• A running Teleport cluster. If you want to get started with Teleport, sign up for a free trial or set up a demo environment.

• The tctl and tsh clients.

  Installing `tctl` and `tsh` clients

  1. Determine the version of your Teleport cluster. The tctl and tsh clients must be at most one major version behind your Teleport cluster version. Send a GET request to the Proxy Service at /v1/webapi/find and use a JSON query tool to obtain your cluster version. Replace with the web address of your Teleport Proxy Service:

     $ TELEPORT_DOMAIN=
     $ TELEPORT_VERSION="$(curl -s https://$TELEPORT_DOMAIN/v1/webapi/find | jq -r '.server_version')"
     

  2. Follow the instructions for your platform to install tctl and tsh clients:

• Teleport가 아닌 OpenSSH 서버 sshd 버전 7.4 이상이 설치된 Linux 호스트. 이 호스트의 SSH 포트는 Teleport 프록시 서비스 호스트의 트래픽에 열려 있어야 합니다.

To check that you can connect to your Teleport cluster, sign in with tsh login, then verify that you can run tctl commands using your current credentials.

For example, run the following command, assigning to the domain name of the Teleport Proxy Service in your cluster and to your Teleport username:

$ tsh login --proxy= --user=
$ tctl status
# Cluster  (=teleport.url=)
# Version  (=teleport.version=)
# CA pin   (=presets.ca_pin=)

If you can connect to the cluster and run the tctl status command, you can use your current credentials to run subsequent tctl commands from your workstation. If you host your own Teleport cluster, you can also run tctl commands on the computer that hosts the Teleport Auth Service for full permissions.

1단계/3단계. sshd 구성#

Teleport는 Teleport 프로세스를 통해 클러스터에 참여한 인프라의 리소스에만 액세스를 허용합니다.

OpenSSH 노드를 등록하려면 클러스터에 연결할 유효한 인증 토큰이 있어야 합니다. Teleport Auth 서비스에 대해 다음 명령을 실행하여 토큰을 생성할 수 있습니다:

$ tctl tokens add --type=node --format=text
(=presets.tokens.first=)

teleport 바이너리를 sshd 호스트에 복사합니다. 다음 명령으로 sshd를 구성하고 클러스터에 노드 리소스를 생성합니다:

$ sudo teleport join openssh \
  --address  \
  --proxy-server  \
  --join-method token \
  --token  \
  --labels env=dev

다음 값을 할당하도록 명령줄 옵션을 변경합니다:

• Teleport 클러스터에 참여할 노드의 주소와 포트로 설정합니다.
• Teleport 프록시 서비스의 주소와 포트로 설정합니다.
• [presets.tokens.first]" /> 조인 토큰 값으로 설정합니다.

tsh ls 또는 Web UI에서 새 노드가 나열되는지 확인합니다.

tctl edit nodes/<hostname> 또는 tctl edit nodes/로 노드를 편집할 수 있습니다. 노드의 UUID는 tctl nodes ls -v의 출력에서 찾을 수 있습니다. teleport join openssh로 생성된 호스트 인증서에 호스트 이름이 주체로 포함되어 있으므로 노드의 호스트 이름을 변경할 때 주의하세요. 노드의 호스트 이름을 수정하려면 인스턴스의 호스트 이름을 변경하고 teleport join openssh를 다시 실행하거나 tctl auth sign --format=openssh로 새 호스트 인증서를 수동으로 발급해야 합니다.

노드가 성공적으로 등록되었음을 확인한 후 복사한 teleport 바이너리를 삭제할 수 있습니다.

2단계/3단계. SSH 클라이언트 구성 생성#

다음 단계는 Teleport에서 관리하는 자격 증명을 사용하여 sshd 호스트에 연결하도록 OpenSSH 클라이언트를 구성하는 것입니다. 이 구성은 사용자의 Teleport 발급 인증서를 사용하여 sshd 호스트에 인증합니다. 또한 앞서 생성한 호스트 인증서를 사용하여 sshd 호스트를 인증합니다.

먼저 Teleport 클러스터에 로그인했는지 확인합니다:

$ tsh status
> Profile URL:        https://teleport.example.com:443
  Logged in as:       myuser
  Cluster:            teleport.example.com
  Roles:              access, auditor, editor, host-certifier
  Logins:             ubuntu, root
  Kubernetes:         enabled
  Valid until:        2022-05-06 22:54:01 -0400 EDT [valid for 11h53m0s]
  Extensions:         permit-agent-forwarding, permit-port-forwarding, permit-pty

$ tsh status
> Profile URL:        https://teleport.example.com:443
  Logged in as:       myuser
  Cluster:            teleport.example.com
  Roles:              access, auditor, editor, reviewer, host-certifier
  Logins:             ubuntu, root
  Kubernetes:         enabled
  Valid until:        2022-05-06 22:54:01 -0400 EDT [valid for 11h53m0s]
  Extensions:         permit-agent-forwarding, permit-port-forwarding, permit-pty

$ tsh status
> Profile URL:        https://mytenant.teleport.sh:443
  Logged in as:       myuser
  Cluster:            mytenant.teleport.sh
  Roles:              access, auditor, editor, reviewer, host-certifier
  Logins:             ubuntu, root
  Kubernetes:         enabled
  Valid until:        2022-05-06 22:54:01 -0400 EDT [valid for 11h53m0s]
  Extensions:         permit-agent-forwarding, permit-port-forwarding, permit-pty

로컬 머신에서 다음 tsh 명령을 실행합니다. 이렇게 하면 클러스터의 호스트에 연결하기 위해 Teleport에서 관리하는 자격 증명을 사용하도록 SSH 클라이언트에 알려주는 구성 블록이 출력됩니다.

$ tsh config > ssh_config_teleport

이 명령은 정리를 쉽게 하기 위해 비표준 위치에 SSH 구성 파일을 생성합니다. 원하는 경우 tsh config의 출력을 기본 SSH 구성 파일(~/.ssh/config)에 추가할 수 있습니다.

# Common flags for all {} hosts
Host *.{} {}
    UserKnownHostsFile "{}"
    IdentityFile "{}"
    CertificateFile "{}"

# Flags for all {} hosts except the proxy
Host *.{} !{}
    Port 3022
    ProxyCommand "{}" proxy ssh --cluster={} --proxy={} %r@%h:%p

$ /usr/bin/ssh -l root -A -o UserKnownHostsFile=/root/.tsh/known_hosts -p 11105 teleport.example.com -s proxy:mynode:3022@teleport.example.com

$ tsh.exe config | out-file .ssh\config -encoding utf8 -append

3단계/3단계. sshd 호스트에 연결#

새 텍스트를 OpenSSH 클라이언트 구성 파일에 추가하면 앞서 생성한 구성을 사용하여 sshd 호스트에 로그인할 수 있습니다.

먼저 Teleport 클러스터 주소, sshd 호스트에 로그인하는 데 사용할 사용자 이름, SSH 트래픽에 사용하는 sshd 호스트의 포트에 대한 환경 변수를 정의합니다:

# sshd 호스트에 액세스하는 데 사용할 수 있는 로그인 보기
$ tsh status | grep Logins
Logins:             ubuntu, root
$ USER=ubuntu
$ CLUSTER=teleport.example.com
$ PORT=22

# sshd 호스트에 액세스하는 데 사용할 수 있는 로그인 보기
$ tsh status | grep Logins
Logins:             ubuntu, root
$ USER=ubuntu
$ CLUSTER=mytenant.teleport.sh
$ PORT=22

다음으로, 원격 호스트에 SSH로 연결합니다:

$ ssh -p ${PORT?} -F ssh_config_teleport "${USER?}@${ADDR?}.${CLUSTER?}"

이 이름은 DNS로 확인할 필요가 없습니다. 연결이 Teleport 프록시 서비스를 통해 라우팅됩니다.

$ ssh -F ssh_config_teleport ${USER?}@node2.leafcluster.${CLUSTER}

OpenSSH 속도 제한#

OpenSSH의 내장 속도 제한에 주의하세요. 많은 수의 프록시 서비스 연결에서 다음과 같은 오류가 발생할 수 있습니다:

channel 0: open failed: connect failed: ssh: handshake failed: EOF

man sshd_config의 MaxStartups 설정을 참조하세요. 이 설정은 기본적으로 OpenSSH가 한 번에 10개의 인증되지 않은 연결만 허용하고 연결 수가 10을 초과하면 30% 확률로 연결을 삭제하기 시작한다는 것을 의미합니다. 100개의 인증 연결에 도달하면 모든 새 연결이 삭제됩니다.

동시성 수준을 높이려면 MaxStartups 50:30:100과 같은 값으로 증가시키세요. 이렇게 하면 50개의 동시 연결과 최대 100개가 허용됩니다.