7. 转发 Agent 访问 (Forwarding Access to an Agent)

可以使用 [RFC4254] 通过 SSH 连接转发 agent 访问. 对该能力的支持可以通过 SSH_MSG_EXT_INFO 中的 agent-forward 来通告. 许多已经部署的实现使用预标准化名称 [email protected] 和 [email protected].

客户端使用名为 agent-req 或 [email protected] 的通道请求来请求转发. 服务器使用通道类型 agent-connect 或 [email protected] 打开 agent 连接. SSH 客户端 SHOULD 处理多个并发转发连接, 并且 MUST 拒绝未授权的 agent 连接请求.

转发 agent 访问会把远端环境连接到本地 agent, 因此授权边界非常重要. 客户端在同意 forwarding 前应确认用户策略、目标主机和会话上下文; 服务器发起的每个 agent connection 都应被视为独立请求, 不能因为先前某个 channel 已获准就自动接受所有后续连接.

为兼容既有部署, 标准名称和 OpenSSH 预标准化名称都需要被识别. 但实现者在日志、策略配置和错误报告中应清楚区分 agent-req channel request 与 agent-connect channel type, 因为前者表示请求启用 forwarding, 后者表示实际建立一条到 agent 的连接.