تقنيات أنفاق SSH وإعادة توجيه المنافذ

تربط إعادة توجيه المنفذ المحلي (ssh -L local_port:destination_host:destination_port user@ssh_server) منفذًا على جهازك المحلي. وتسافر حركة البيانات المرسلة إلى ذلك المنفذ عبر اتصال SSH المشفّر إلى خادم SSH، الذي يتصل بعد ذلك بالوجهة. ويتصل تطبيقك المحلي بـ localhost، بينما يوصّل SSH حركة البيانات بأمان إلى الوجهة البعيدة.

من حالات الاستخدام الشائعة لإعادة توجيه المنفذ المحلي الوصول إلى قاعدة بيانات داخلية خلف جدار ناري. باستخدام ssh -L 5432:db.internal:5432 user@bastion، يتصل عميل PostgreSQL المحلي لديك بـ localhost:5432. ويمرر الخادم الوسيط هذه الحركة إلى خادم قاعدة البيانات الداخلي، الذي لا يمكن الوصول إليه من الإنترنت بطريقة أخرى.

تربط إعادة توجيه المنفذ البعيد (ssh -R remote_port:local_host:local_port user@ssh_server) منفذًا على خادم SSH البعيد. وعندما يتصل عملاء خارجيون بذلك المنفذ البعيد، تعود حركة البيانات عبر نفق SSH إلى جهازك المحلي. ويتيح ذلك إتاحة خدمة تعمل محليًا للعالم عبر خادم متصل بالإنترنت.

تكون إعادة التوجيه البعيد مفيدة خصوصًا عندما يكون جهازك خلف NAT ولا يستطيع استقبال الاتصالات الواردة مباشرةً. فمن خلال إنشاء نفق عكسي إلى خادم عام، تتيح للعملاء الخارجيين الوصول إلى خدمتك المحلية عبر الخادم العام. وتُستخدم هذه التقنية أيضًا في بعض أدوات الوصول عن بُعد وأنظمة إدارة أجهزة IoT.

تنشئ إعادة توجيه المنفذ الديناميكي (ssh -D local_port user@ssh_server) وكيل SOCKS5 على جهازك المحلي. ويمكن لأي تطبيق يدعم SOCKS5 توجيه حركة البيانات عبر هذا الوكيل، بحيث تبدو وكأنها صادرة من خادم SSH. وهذا يوجّه تصفحك عمليًا عبر الشبكة البعيدة، ويفيد في الوصول إلى الموارد المقيّدة جغرافيًا أو تجاوز مرشحات الشبكة المحلية.

تتميز الأنفاق العكسية بقدرات قوية، لكنها تنطوي على مخاطر أمنية. فإذا كان الخادم يسمح باستخدام GatewayPorts، تصبح المنافذ المعاد توجيهها عن بُعد متاحة على الإنترنت العام، وليس لـ localhost فقط. وقد يتمكن المهاجم الذي يخترق جهازًا به نفق عكسي من الوصول إلى الخدمات الداخلية. وينبغي للمؤسسات مراقبة الأنفاق العكسية غير المصرح بها وتقييد GatewayPorts في إعدادات SSH.

تتحكم إعدادات خادم SSH في إمكانات إنشاء الأنفاق. يحدد AllowTcpForwarding ما إذا كان مسموحًا بإعادة توجيه المنافذ المحلية والبعيدة. ويتحكم AllowStreamLocalForwarding في إعادة توجيه مقابس Unix. ويؤدي تعيين هذه الخيارات إلى no إلى تعطيل إنشاء الأنفاق لجميع المستخدمين، كما يمكنك تقييدها لكل مستخدم أو مجموعة. ويؤدي تعطيل إعادة التوجيه غير الضرورية إلى تقليل سطح الهجوم.

يدعم SSH إنشاء واجهات شبكة tun للأنفاق الكاملة لحركة IP (ssh -w). ويحوّل ذلك SSH إلى شبكة VPN خفيفة، حيث تُمرَّر حزم IP كاملة عبر النفق، وليس اتصالات TCP محددة فقط. ويجب تمكين PermitTunnel على الخادم. ورغم أن هذا الأسلوب أقل كفاءة من برمجيات VPN المخصصة، فإنه لا يتطلب برمجيات إضافية ويستفيد من بنية SSH التحتية الموجودة.

يعيد تعدد إرسال اتصالات SSH (إعدادا ControlMaster وControlPath) استخدام اتصال SSH قائم للجلسات الجديدة. ويؤدي ذلك إلى تسريع الاتصالات اللاحقة بالمضيف نفسه بدرجة كبيرة، وهو أمر مهم خصوصًا في البيئات التي تعتمد على البرامج النصية. ويمكن أيضًا إبقاء الأنفاق نشطة عبر جلسات SSH متعددة باستخدام الاتصال المشترك.

يمكن لمسؤولي الشبكات اكتشاف إنشاء الأنفاق عبر SSH من خلال أنماط حركة مرور غير معتادة، مثل اتصالات TCP طويلة الأمد على المنفذ 22، أو أحجام بيانات مرتفعة على نحو غير متوقع لاتصالات يُفترض أن تقتصر على حركة الطرفية، أو الاتصالات بوجهات معروفة بحساسيتها بعد إنشائها. ولا يستطيع الفحص العميق للحزم رؤية محتوى SSH، لكن تحليل البيانات الوصفية يمكنه كشف سلوك الأنفاق المشبوه.

عند الاستخدام المصرح به، وثّق جميع الأنفاق والغرض من كل منها. استخدم -N (من دون أمر) مع الأنفاق لتجنب فتح صدفة دون ضرورة، واستخدم -f (التشغيل في الخلفية) لتشغيلها من دون حجب الطرفية. وبالنسبة إلى الأنفاق المستمرة، استخدم AutoSSH أو تنشيط المقابس في systemd، إذ يعيدان تشغيل النفق تلقائيًا إذا انقطع الاتصال.

تريد إتاحة خادم التطوير المحلي لديك (الذي يعمل على المنفذ 3000) عبر الإنترنت من خلال خادم SSH عام. ما نوع إعادة التوجيه الذي ينبغي استخدامه؟

مراجعة أنفاق SSH: تتيح إعادة التوجيه المحلي (-L) الوصول الآمن إلى الخدمات الداخلية من جهازك، وتتيح إعادة التوجيه البعيد (-R) إتاحة الخدمات المحلية من خلال خادم عام، بينما تنشئ إعادة التوجيه الديناميكي (-D) وكيل SOCKS5 لتوجيه حركة المرور على مستوى التطبيقات، وتتيح إعادة توجيه tun إنشاء VPN كامل على مستوى IP، ويتحكم AllowTcpForwarding على الخادم في هذه الإمكانات.