请教下， ssh 使用 proxycommand 通过机场进行跳转，是否有安全风险问题？

[DigitalG]

有一台海外的服务器，偶尔需要 ssh 上去进行一些操作，但卡顿的问题比较明显。曾经尝试过 mosh ，有改善，但是体验欠佳。试来试去，通过自己的机场进行中转，效果是最好的（只是机场不支持 22 端口，要改端口到高位。或者使用 vx.link 家的服务，效果类似）。只是每次这么登录的时候，云服务的厂商都会警告我，异常位置登录什么的稍微有点打扰。

我不是安全/网络相关方向的，相关知识欠佳。假设这里用于跳转的中转点，是不可信任的，这个过程里是否有什么风险问题呢（比如服务器，或者密钥泄露，ssh agent 相关）？

P.S. 中转的.ssh/config设置大致如下：

Host hk
  HostName example.com
  User ubuntu
  Port 2222
  ForwardX11 no
  AddKeysToAgent yes
  ProxyCommand=nc -X connect -x 127.0.0.1:6152 %h %p
  IdentityFile ~/.ssh/id_ed25519

[phrack]

没有

[lostberryzz]

可以考虑使用代理软件的增强模式，不用额外设置 ProxyCommand

[vcn8yjOogEL]

SSH 和 TLS 一样是安全连接, 你只需要考虑阻断和日志

[AoEiuV020JP]

理论上第一次 ssh 会让你确认服务器指纹，要输入 y 的那个，
如果这个指纹一开始就不对，而你又没有检查直接 y 了，那就不安全，
不过哪怕如此，理论上只要断开代理连一次就能发现问题，

[ljyst]

用 ssh 中转？这个得看具体需求比如你服务器里数据库允许局域网访问没开外网端口有些图形数据库工具可以走 ssh 验证

个人建议还是 vpn

[totoro625]

不信任机场可以使用自己的服务器进行数据落地，关键词：多级转发代理 /代理链 /clash relay/surge underlying-proxy
效果是使用你自定义加密后的数据发给机场服务器过墙，数据在你自己的落地服务器进行解密，最终到达目标服务器

这样你的登录 ip 始终是你自己的落地服务器 ip

风险是你的服务器 ip 地址被机场知道

[cxsz]

不会，ssh 是加密的，我也通过机场去连服务器

[YGHMXFAL]

附议#6

[zed1018]

羡慕，你们机场能通 ssh 协议，我的就不行

[defaw]

提前信任一遍远程的公钥就没有任何风险了

[Muniesa]

@totoro625 也可以不用自己的服务器，用 cloudflare 的 ssh 隧道，这样机场只能看到你在访问 cf 的 IP

[march1993]

服务器跑一个 https://github.com/kost/tty2web ，443 一般不会被 qos

[ontry]

我现在图省事代理就只用 SSH 了，与其担心机场劫持不如担心公网密钥爆破