踏み台経由でユーザを切り替えてリモートファイルを SCP する方法
退会済みユーザー
総合スコア0

Question

local から踏み台(ホスト名 relay とする)にはユーザ名 local_user で
relay から remote にはユーザ名 remote_user でそれぞれ ssh ができて
relay 内で `sudo su - remote_user` で local_user から remote_user にユーザを切り替える権限をもっています 

relay 内で remote_user で scp して /home/remote_user にファイルをもってくることはできたのですが
/home/local_user  /home/remote_user はお互いにパーミション権限がなくファイル移動できず
ローカルからローカルユーザ権限で remote_user 権限のファイルを scp することができません

ファイルパーミションをあけて /tmp とか誰でも書き込める場所に移動して scp することはできますが
毎回やるのがかなり手間なので簡単にリモートファイルをコピーする方法はないでしょうか

たとえば踏み台の remote_user で
ssh -vNL 10022:localhost:22 remote
というポートフォワーディングをはっておいて
ローカルから
scp -P 10022 relay:/リモートファイルのパス
とうっても動きません…

追記：

ローカルで 
ssh -vNL 10022:localhost:10022 relay
というトンネルをさらに作って

local:10022 => relay:10022 => remote:22 という２段階のフォワードをつくってからローカル １００２２ に

scp -P 10022 remote_user@localhost:/リモートファイルのパス

とうつと
ssh_exchange_identification: Connection closed by remote host
となってトンネル自体はできてるみたいですが認証がうまくいきません


追記

local で ssh relay だけで relay にログインできます
( パスフレーズを設定してるんですが UseKeychain yes をいれてします )

relay では sudo su - abc_user というコマンドで別ユーザになって
ssh remote とうてばパスフレーズなしでログインして remote の xyz というユーザになります


追記：
現状のファイルコピー手順
どうにかこれを簡略化したいです

```
ssh relay
sudo su - remote_user
scp remote:remote.txt /tmp
chmod go+r /tmp/remote.txt

別ターミナルを開いて(localで)
scp relay:/tmp/remote.txt ./

元のターミナル(relay上で)
rm /tmp/remote.txt
```

Answer

remote:22 にポートフォワードしている限りは、普通に remote の sshd とやりとりすることになるので当然認証が走りますよね。
remote の sshd の設定が公開鍵認証のみになっているのであれば、通常通り鍵やパスフレーズが必要です。
ポートフォワードのみだと単に多段 ssh の簡略化以上の効力は無いと思います。

ファイルコピーを楽にする方法はいくつかあると思いますが、ポリシーにもよるのでズバリな回答は難しい気がしますね。
とりあえず簡単に思いつくのは下記くらいですが。。

・remote にログイン可能な鍵を local にも置いて、ProxyCommand もしくはポートフォワードで多段 ssh を簡略化する（コピー用のアカウントと鍵を用意すればセキュリティ的にもそれほど問題にならないと思います）

・relay 上の特定の領域をファイル同期用の領域として、cron で ssh+rsync などで自動的に remote 上に同期する仕掛けを設定しておく。local からはその relay 上の同期用の領域に scp する

Answer

ちょっと質問と関係がうすいので恐縮ですが、ユーザー名の指定とかがすっきりするので書いておきます。

SSHのオプションで`ProxyCommand`というのがあります。これを使うと一撃でユーザー指定しつつトンネル掘って、任意のホストまでSSH（SCP）できます。

.ssh/configに下記の通り入れてみてください。（内容をフィーリングで感じ取って、適宜調整してください。）
```
Host Relay # 任意の名前
	User		local_user
	Hostname	relay # IPとかホスト名とか

Host Remote # 任意の名前
	User		remote_user
	Hostname	remote # ここにはrelayから繋ぐ時のIPなりホスト名、たとえばプライベートIPなど
	ProxyCommand	ssh -W %h:%p Relay # sshが古い環境だと要差し替え。最後のRemoteがHostで登録した名前であることに注意
	# IdentityFile	~/.ssh/id_rsa
```

この状態で、`scp localfile Remote:remotefile`とかすると少し幸せになれます。
さらに、SSH鍵を指定したい場合は`IdentityFile` とかを追加すればOKです。

Answer

ホスト local も Linux ですよね？
であれば、Local Forward で local:10022 を remote:22 に結びつけるといいと思います。
```
ssh -f -N -L 10022:remote:22 local_user@relay
```
ssh/scp で localhost:10022 ポートに接続すると、remote の sshd につながりますので、remote_user でログイン／ファイルコピーできると思います。
```
scp -P 10022 <file> remote_user@localhost:
```

Answer

各ノードの役割を少し誤って認識されているようです。
今回のケースにおける各ノードの役割は以下です。

　・localノードは relayノードの10022ポートに remote_user でssh接続する。
　・relayノードは 10022ポートで受けた通信を remoteノードの22ポート へ転送する
　・remoteノードは 22ポートでsshを受け付ける

この時 relayノードは通信を単純にリダイレクトできればよいので実行ユーザは問いません。
relayノードに local_user や remote_user ユーザを作成する必要もありません。

ですので、relay で実行されている以下コマンドは正しいですが、remote_user で実行する必要はありません。

　ssh -vNL 10022:localhost:22 remote

ただし、OSの設定によっては上記コマンドは 127.0.0.1:10022 でリスニングしようとしますので、IPかホスト名も指定したほうが良いでしょう。

　ssh -vNL relay:10022:localhost:22 remote

次にlocalで実行されてるコマンドには「remote_user で」ssh接続するという情報が必要ですので以下では足りません。

　scp -P 10022 relay:/リモートファイルのパス

ユーザ名を指定して下さい。

　scp -P 10022 remote_user@relay:/リモートファイルのパス

これで実現しようとしている通信が通るかと思います。

関連した質問