可以从 root 账户通过隧道进行 ssh，但不能从用户账户进行

Question 1

由于受保护的主机位于堡垒主机后面，因此您仍然需要通过堡垒主机才能到达它，无论是从根用户或普通用户帐户。

只需将根 ssh 配置复制到用户 ssh 配置就可以了，但要ForwardAgent yes在每个Host部分中为根用户和桌面上的普通用户添加一个。

Host *
ServerAliveInterval 60
IdentitiesOnly yes

Host           bastion
HostName       bastion.host
IdentityFile   ~/.ssh/id_protected
User           user
ForwardAgent   yes

Host          protected
IdentityFile   ~/.ssh/id_protected
Hostname       protected
User           user
ForwardAgent   yes
ProxyCommand   ssh bastion -W %h:%p

sshd_config堡垒和受保护主机上的文件（通常为）/etc/ssh/sshd_config需要具有，AllowAgentForwarding yes这通常是默认的，但值得检查。如果您确实需要更改，请在保存后重新启动 sshd。

希望 root 和普通用户的私钥相同，但如果不同，请确保.ssh/authorized_keys堡垒主机和受保护主机上的文件中都有相应的公钥。换句话说，堡垒用户的.ssh/authorized_keys文件有一个条目（单行，2 或 3 个空格分隔的字段），其中包含桌面使用的相应私钥的公钥，受保护主机也是如此。

如果您不再拥有公钥，您可以通过以下命令获取：

ssh-keygen -l -f /path/to/private_key

Answer

由于受保护的主机位于堡垒主机后面，因此您仍然需要通过堡垒主机才能到达它，无论是从根用户或普通用户帐户。

只需将根 ssh 配置复制到用户 ssh 配置就可以了，但要ForwardAgent yes在每个Host部分中为根用户和桌面上的普通用户添加一个。

Host *
ServerAliveInterval 60
IdentitiesOnly yes

Host           bastion
HostName       bastion.host
IdentityFile   ~/.ssh/id_protected
User           user
ForwardAgent   yes

Host          protected
IdentityFile   ~/.ssh/id_protected
Hostname       protected
User           user
ForwardAgent   yes
ProxyCommand   ssh bastion -W %h:%p

sshd_config堡垒和受保护主机上的文件（通常为）/etc/ssh/sshd_config需要具有，AllowAgentForwarding yes这通常是默认的，但值得检查。如果您确实需要更改，请在保存后重新启动 sshd。

希望 root 和普通用户的私钥相同，但如果不同，请确保.ssh/authorized_keys堡垒主机和受保护主机上的文件中都有相应的公钥。换句话说，堡垒用户的.ssh/authorized_keys文件有一个条目（单行，2 或 3 个空格分隔的字段），其中包含桌面使用的相应私钥的公钥，受保护主机也是如此。

如果您不再拥有公钥，您可以通过以下命令获取：

ssh-keygen -l -f /path/to/private_key

Question 2

laptop我在从(问题中未提及 - 我也有pi其他几台与该问题无关的计算机) 到的 shell 时遇到了非常类似的问题desktop- 其设置与非常相似protected。症状：

user@laptop$ ssh desktop "echo foo" | xxd
00000000: 1b5b 3367 0d1b 4820 2020 201b 4820 2020  .[3g..H    .H
00000010: 201b 4820 2020 201b 4820 2020 201b 4820   .H    .H    .H
00000020: 2020 201b 4820 2020 201b 4820 2020 201b     .H    .H    . 
00000030: 4820 2020 201b 4820 2020 201b 4820 2020  H    .H    .H
00000040: 201b 4820 2020 201b 4820 2020 201b 4820   .H    .H    .H
00000050: 2020 201b 4820 2020 201b 4820 2020 201b     .H    .H    .
00000060: 4820 2020 201b 4820 2020 201b 4820 2020  H    .H    .H
00000070: 201b 4820 2020 201b 4820 2020 0d66 6f6f   .H    .H   .foo
00000080: 0a

只需将行更改tabs -4为status --is-interactive; and tabs -4in /home/user/.config/fish/config.fishon即可轻松解决此问题desktop。我不久前已在上进行了此更改protected。

然而 -/home/user/.config/fish/config.fish改变desktop似乎已将登录问题从user@修复desktop为user@ protected。我将其发布为答案，因为我觉得解决方案有些新颖 -https://askubuntu.com/a/976226/427339我在问题中链接的说明我需要检查产生输出的命令在protected，我通过改变产生输出的命令解决了这个问题在desktop。

话虽如此，我还是很乐意将一个答案标记为已接受，该答案可以解释本地机器上的 shell 配置如何以及为何干扰 ssh 管道，但是不是直接 ssh 连接。

直到那时，我才得出初步结论，这tabs是一个有风险的程序，如果将其放在 shell 启动文件中，则应极其谨慎地对待。

Answer