SSH-Verbindung über Gateway mit PuTTY-Agent in RDM – Verständnisproblem oder Konfigurationsfehler?

Ich vermute, dass ich hier ein Verständnisproblem habe und hoffe auf einen Hinweis.

In einigen Fällen möchte ich mir ein separates VPN für den Zugriff auf einen SSH-Server hinter einem Gateway sparen.

Für HTTP/HTTPS sowie SFTP (WinSCP) funktioniert das problemlos über eine SSH-Verbindung mit Port-Forwarding, auch in Kombination mit dem PuTTY-Agent. Dabei baut RDM zunächst die SSH-Verbindung auf, nutzt den PuTTY-Agent zur Authentifizierung, vergibt einen dynamischen lokalen Port und startet anschließend z. B. den Browser auf localhost:<dynamischer Port>. Das ist sehr komfortabel, da keine festen Ports gepflegt werden müssen.


Mit WinSCP funktioniert dieses Vorgehen ebenfalls, allerdings nur ohne dynamischen Port, da $DYNAMIC_PORT$ dort nicht unterstützt wird (wäre aus meiner Sicht ein Feature-Request):


Für eine reine SSH-Verbindung bin ich davon ausgegangen, dass der Ablauf identisch sein müsste – hier verhält sich RDM jedoch anders. Ob es unbedingt ein Portforwarding sein muss steht auf einem anderen Blatt:

• Wird eine Verbindung über VPN/Tunnel/Gateway konfiguriert, wird der im eigentlichen SSH-Eintrag hinterlegte Host durch die Gateway-Einstellungen überschrieben. Der Sinn dieses Verhaltens erschließt sich mir nicht, da damit die Zieladresse faktisch ignoriert wird.
• Alternativ habe ich versucht, das SSH Gateway (Jump Host) zu verwenden. Dort können jedoch nur Verbindungen angelegt werden, ohne den PuTTY-Agent nutzen zu können. Benutzername/Kennwort ist keine Option.
• Hinterlege ich stattdessen den SSH-Key direkt, muss ich am Key zwingend einen Benutzernamen angeben. Das ist für mich nicht nachvollziehbar, da der SSH-Key an sich nicht benutzerspezifisch ist.
  • In meinem Szenario melde ich mich z. B. am Gateway mit Benutzer User1 an und anschließend am Zielserver mit User2.
  • Lege ich den Benutzernamen im Key nicht fest, wird dieser interaktiv abgefragt.
  • Lege ich ihn fest (z. B. User1), funktioniert die Anmeldung am Zielserver mit User2 nicht mehr.
  • Verwende ich denselben Key für weitere Server mit anderen Benutzern (z. B. User3), müsste ich den Key mehrfach anlegen, was unnötig komplex ist.
  • Auch Variablen wie $PARENT_USERNAME$ lassen sich an dieser Stelle offenbar nicht verwenden, da die Nutzer unterschiedlich sein können

Daher meine Frage:
Übersehe ich in diesem Ablauf eine grundlegende Einstellung oder ein Konzept in RDM?

Das Öffnen einer Webseite oder einer WinSCP-Verbindung über SSH-Portforwarding ist sehr einfach wie man oben sieht, während sich eine einfache SSH-Verbindung über Gateway deutlich komplizierter darstellt.

Vielen Dank für jeden Hinweis oder Erfahrungswert.