Як я можу зіставити діапазон CIDR для запису хоста з конфігурацією SSH?

Я шукаю спосіб використовувати конкретні блоки CIDR для узгодження хостів у конфігурації клієнта SSH (як правило ~/.ssh/config). Наприклад, у мене є запис для пересилання всього трафіку через хост бастіону, якщо IP потрапляє в певний діапазон, скажімо 10.1.0.0/16:

host 10.1.*
    proxycommand ssh -q bastion -W %h:%p

Це працює дуже добре, але як бути, коли я додаю діапазони, які точно не відповідають позначенням точок?

# doesn't work, unfortunately
host 10.2.0.0/18
    proxycommand ssh -q bastion-foo -W %h:%p
host 10.2.64.0/18
    proxycommand ssh -q bastion-bar -W %h:%p

Чи є в керівництві щось, що я пропустив, або хитрий сценарій, який би дозволив відповідати цим діапазонам IP хостів?

Узгодження з шаблонами у файлі ssh_config виконується як узгодження основного шаблону, а не як відповідність мережі / CIDR. Тому використання позначень CIDR не спрацює.

Сторінка людини пояснює, що:

Шаблон складається з нуля або більше символів, що не містять пробілів, *(підстановочний знак, який відповідає нулю або більше символів), або ?(підстановочний знак, що відповідає точно одному символу).

Найкраще, що ви можете зробити, це використовувати список з декількох шаблонів. Знову зі сторінки керівництва:

Список шаблонів - це розділений комою список шаблонів. Шаблони в списках шаблонів можуть бути заперечені, попередньо перед ними знак оклику ( !).

Отже, щоб покрити дві / 18 мереж, вам потрібно буде вказати:

• всі узгодження хостів 10.2.?.*(тобто 10.2.0.0–10.2.9.255)
• всі узгодження хостів 10.2.??.*(тобто 10.2.10.0–10.2.99.255)
• всі узгодження хостів 10.2.10?.*(тобто 10.2.100.0–10.2.109.255)
• всі узгодження хостів 10.2.11?.*(тобто 10.2.110.0–10.2.119.255)
• всі хости відповідності 10.2.12?.*КРІМ відповідності ті , 10.2.128.*і 10.12.129.*(і пам'ятайте , що виключення повинно прийти першим!)

Тоді ваш список шаблонів повинен виглядати так:

Host "10.2.?.*","10.2.??.*", "10.2.10?.*","10.2.11?.*","!10.2.128.*","!10.2.129.*","10.2.12?.*"

Слідкуйте за http://bugzilla.mindrot.org/show_bug.cgi?id=1169, який, зрештою, може забезпечити механізм цього.