SSH代理转发核心是本地ssh-agent签名能力逐跳透传，私钥始终保留在本机内存；需启动agent并加载密钥、配置~/.ssh/config逐跳启用ForwardAgent yes、确保跳板机sshd_config中AllowAgentForwarding yes且禁用密码登录，并在末端用ssh-add -l验证指纹一致。
Linux 中用 SSH 代理转发（Agent Forwarding）简化多跳登录，核心是让本地的 ssh-agent 签名能力逐跳透传，私钥始终不离开本机内存。不是“把密钥发过去”，而是“把认证能力转过去”。只要配置到位，ssh target 一条命令就能穿过多层跳板直达内网机器，且 git clone、scp、rsync 等操作在目标机上也能直接使用本地密钥。
先启动并加载本地 ssh-agent
代理转发的前提是密钥已进入本地 agent 内存，ssh -i 方式无法触发转发，OpenSSH 明确禁止磁盘私钥通过代理暴露。
- 运行
eval $(ssh-agent)启动 agent（Bash/Zsh 必须用eval，否则环境变量不生效） - 执行
ssh-add ~/.ssh/id_rsa_target加载对应目标服务器的私钥（带密码的只输一次） - 验证：运行
ssh-add -l应显示密钥指纹；echo $SSH_AUTH_SOCK应输出非空路径
在 ~/.ssh/config 中逐跳启用 ForwardAgent
转发不是全局生效，每跳都需显式声明 ForwardAgent yes。ProxyJump 能自动继承该设置，但显式写出更清晰、更易维护、也更符合审计要求。
- 为第一跳跳板机（如
bastion）配置：ForwardAgent yes - 为目标服务器（如
app-server）使用ProxyJump bastion，并同样加上ForwardAgent yes - 若有第三跳（如
db-server），继续用ProxyJump app-server+ForwardAgent yes - 避免
Host *放在 config 开头，它会覆盖后续所有具体 Host 的设置
确保跳板机允许代理继续向下转发
跳板机本身不存私钥，但它必须当好“中转站”。如果它的 /etc/ssh/sshd_config 中 AllowAgentForwarding 被禁用，链路就会卡在这儿——这是最常被忽略的安全配置项。
- 检查命令：
grep AllowAgentForwarding /etc/ssh/sshd_config，确认输出为AllowAgentForwarding yes - 该配置热生效，修改保存后无需重启
sshd - 顺手确认
PasswordAuthentication no已启用，防止攻击者降级到密码登录 - 跳板机上严禁存放私钥、禁止运行
ssh-add、也不该有干扰转发的~/.ssh/config
验证是否真正透传到最末端节点
能登录不等于转发成功。关键看远端能否调用你本地加载的密钥完成签名，比如 git push 或 ssh user@another-host 是否免密。
- 登录最后一跳后，运行
ssh-add -l，应列出与本地一致的密钥指纹 - 从倒数第二跳执行
ssh -o LogLevel=DEBUG2 target，日志中出现debug2: key: [explicit]才表示由本地 agent 提供 - 若
ssh-add -l在目标机为空，常见原因：跳板机未配ForwardAgent yes、其sshd_config禁用了AllowAgentForwarding、或本地 agent 未加载对应密钥
