Linux SSH跳板机配置方法详细步骤与安全设置指南

一句话总结：唯一能稳定实现多级SSH跳转，并完美支持scp、sftp及ssh-agent透传功能的方案，只有ProxyJump。但要成功配置，必须满足三个硬性条件：所有节点的OpenSSH均需≥7.3、配置文件格式零差错（Host顶格、空格缩进、权限600）、以及逐跳验证网络连通性。

ProxyJump是必选项，不建议用ProxyCommand或嵌套ssh

说真的，市面上能实现多级跳转的方案就那么几种，但真正经受住生产环境考验的只有ProxyJump。为什么？因为它原生支持scp、sftp和ssh-agent透传——这几个功能在实际运维中几乎每天都要用到。有些人喜欢用ProxyCommand ssh -W %h:%p jump1，或者手勤快一点：ssh jump1 && ssh target。乍一看也能通，但用不了多久就会踩坑：中间节点脱离首层审计、scp执行到一半卡死、ssh-add -l在目标机上死活看不到密钥……这些不是配置没调好，而是设计层面就没打算支持。

常见的翻车现场包括：

• 执行scp file.txt target:命令后一直卡住，加-v一看，只连了跳板机，根本没走第二跳
• 用ssh target登录成功，但运行git clone时报“Permission denied (publickey)”——原因是agent没透传过去
• 日志里找不到debug1: Setting implicit ProxyJump，说明跳板逻辑压根没被启用

所有节点（本地及每台跳板机）均需OpenSSH 7.3或更高版本

光本地升级到新版本还不够——跳板机上的sshd服务端也必须至少7.3。如果跳板机版本低于这个门槛，ProxyJump配置会被直接忽略，而且不会报错。你会看到“连接超时”或“Connection refused”，实际上它已经静默退化为直连，绕过了跳板。

验证方法很简单：

• 本地：跑ssh -V，输出里要有OpenSSH_7.3p1或更高
• 每台跳板机：登录后执行sshd -V 2>&1 | head -1（注意不是ssh -V，很多人在这一步搞混）
• Ubuntu/Debian升级命令：sudo apt update && sudo apt install openssh-client openssh-server
• RHEL/CentOS 7+升级命令：sudo yum update openssh*或sudo dnf upgrade openssh*

~/.ssh/config文件格式瑕疵会导致策略静默失效

ProxyJump对配置格式的敏感程度远超想象。多一个空格、混入Tab键、权限不对，SSH会直接跳过整段配置，连个提示都不给你。就像把钥匙插错锁孔，门不开，还不告诉你钥匙插错了。

需要特别注意的几点：

• Host行必须顶格写，HostName、User等字段必须缩进（只用空格，禁用Tab）
• ProxyJump的值只能是一个Host别名，比如ProxyJump jump1 ✅，ProxyJump = jump1 ❌，ProxyJump jump1,jump2 ❌
• 每个私钥路径要单独指定：IdentityFile ~/.ssh/id_ed25519_jump1和IdentityFile ~/.ssh/id_ed25519_target不能重复用同一个文件
• 权限必须严格设为600：chmod 600 ~/.ssh/config ~/.ssh/id_*.pub ~/.ssh/id_*

下面是一个正确的配置示例：

Host jump1
  HostName 203.0.113.10
  User juser1
  IdentityFile ~/.ssh/id_ed25519_jump1

Host jump2
  HostName 10.1.1.20
  User juser2
  IdentityFile ~/.ssh/id_ed25519_jump2
  ProxyJump jump1

Host target
  HostName 172.16.5.100
  User appadmin
  IdentityFile ~/.ssh/id_ed25519_target
  ProxyJump jump2

网络连通性需要逐跳逐一验证

配置文件写得再漂亮，网络不通一切白搭。跳板链是线性的：本地 → jump1 → jump2 → target，中间任何一段断掉，整条链就卡在那。很多人只验证了本地到jump1，忽略了后面两跳。

建议按这个顺序依次检查：

• 本地能不能ssh jump1？
• 从jump1能不能ssh jump2？（这里要注意：jump2的IP通常是内网地址，jump1必须能直连它）
• 从jump2能不能ssh target？（同理，target的IP对jump2必须可达）
• 所有跳板机的防火墙都要放行对应端口（默认22），云平台的安全组也得同步开放

最容易踩坑的是jump2到target这一段——它不在本地网络里，没法直接用ping测试，只能登录jump2后手动ssh过去看看。