SSH-Tunneling und Port-Forwarding-Techniken

Die lokale Portweiterleitung (ssh -L local_port:destination_host:destination_port user@ssh_server) bindet einen Port auf Ihrem lokalen Rechner. An diesen lokalen Port gesendeter Datenverkehr wird über die verschlüsselte SSH-Verbindung zum SSH-Server übertragen, der anschließend eine Verbindung zum Ziel herstellt. Ihre lokale Anwendung kommuniziert mit localhost, während SSH den Datenverkehr sicher an das entfernte Ziel weiterleitet.

Ein häufiger Anwendungsfall für die lokale Portweiterleitung ist der Zugriff auf eine interne Datenbank hinter einer Firewall. Mit ssh -L 5432:db.internal:5432 user@bastion verbindet sich Ihr lokaler PostgreSQL-Client mit localhost:5432. Der Bastion-Host leitet diesen Datenverkehr an den internen Datenbankserver weiter, der ansonsten aus dem Internet nicht erreichbar wäre.

Die Remote-Portweiterleitung (ssh -R remote_port:local_host:local_port user@ssh_server) bindet einen Port auf dem entfernten SSH-Server. Wenn externe Clients eine Verbindung zu diesem entfernten Port herstellen, fließt der Datenverkehr durch den SSH-Tunnel zurück zu Ihrem lokalen Rechner. Dadurch können Sie einen lokal ausgeführten Dienst über einen Server mit Internetzugang weltweit erreichbar machen.

Die Remote-Weiterleitung ist besonders nützlich, wenn sich Ihr Rechner hinter NAT befindet und eingehende Verbindungen nicht direkt empfangen kann. Durch einen Reverse-Tunnel zu einem öffentlichen Server ermöglichen Sie externen Clients, Ihren lokalen Dienst über diesen öffentlichen Server zu erreichen. Diese Technik wird auch von einigen Tools für den Fernzugriff und Systemen zur Verwaltung von IoT-Geräten verwendet.

Die dynamische Portweiterleitung (ssh -D local_port user@ssh_server) erstellt einen SOCKS5-Proxy auf Ihrem lokalen Rechner. Jede SOCKS5-fähige Anwendung kann ihren Datenverkehr über diesen Proxy leiten, sodass er scheinbar vom SSH-Server ausgeht. Dadurch wird Ihr Datenverkehr beim Surfen effektiv über das entfernte Netzwerk geleitet. Das ist nützlich, um auf geografisch eingeschränkte Ressourcen zuzugreifen oder lokale Netzwerkfilter zu umgehen.

Reverse-Tunnel sind leistungsfähig, bringen jedoch Sicherheitsrisiken mit sich. Wenn ein Server GatewayPorts zulässt, sind per Remote-Weiterleitung eingerichtete Ports für das öffentliche Internet und nicht nur für localhost zugänglich. Ein Angreifer, der einen Rechner mit einem Reverse-Tunnel kompromittiert, kann möglicherweise interne Dienste erreichen. Unternehmen sollten nicht autorisierte Reverse-Tunnel überwachen und GatewayPorts in den SSH-Konfigurationen einschränken.

Die Konfiguration des SSH-Servers steuert die Tunneling-Funktionen. AllowTcpForwarding legt fest, ob die lokale und die Remote-Portweiterleitung zulässig sind. AllowStreamLocalForwarding steuert die Weiterleitung von Unix-Sockets. Wenn Sie diese Optionen auf no setzen, wird das Tunneling für alle Benutzer deaktiviert. Sie können die Optionen auch pro Benutzer oder Gruppe einschränken. Das Deaktivieren nicht benötigter Weiterleitungen verringert die Angriffsfläche.

SSH unterstützt das Erstellen von Tun-Netzwerkschnittstellen für vollständiges IP-Tunneling (ssh -w). Dadurch wird SSH zu einem leichtgewichtigen VPN, über das ganze IP-Pakete und nicht nur bestimmte TCP-Verbindungen getunnelt werden. PermitTunnel muss auf dem Server aktiviert sein. Dieser Ansatz ist zwar weniger effizient als dedizierte VPN-Software, erfordert jedoch keine zusätzliche Software und nutzt die vorhandene SSH-Infrastruktur.

SSH-Verbindungs-Multiplexing (die Einstellungen ControlMaster und ControlPath) verwendet eine bestehende SSH-Verbindung für neue Sitzungen wieder. Dadurch werden nachfolgende Verbindungen zum selben Host erheblich beschleunigt, was insbesondere in skriptgesteuerten Umgebungen von großem Nutzen ist. Tunnel können mithilfe der gemeinsam genutzten Verbindung auch über mehrere SSH-Sitzungen hinweg aufrechterhalten werden.

Netzwerkadministratoren können SSH-Tunneling anhand ungewöhnlicher Verkehrsmuster erkennen: langlebige TCP-Verbindungen auf Port 22, unerwartet hohe Datenvolumen bei Verbindungen, die eigentlich nur Terminalverkehr übertragen sollten, oder Verbindungen zu bekannten sensiblen Zielen nach deren Aufbau. Deep Packet Inspection kann SSH-Inhalte nicht einsehen, aber eine Metadatenanalyse kann verdächtiges Tunnelverhalten erkennen.

Dokumentieren Sie bei autorisierter Nutzung alle Tunnel und ihre Zwecke. Verwenden Sie bei Tunneln -N (kein Befehl), um nicht unnötig eine Shell zu öffnen, und -f (Hintergrund), um sie auszuführen, ohne Ihr Terminal zu blockieren. Verwenden Sie für persistente Tunnel AutoSSH oder die Socket-Aktivierung von systemd, die den Tunnel automatisch neu startet, wenn die Verbindung abbricht.

Zusammenfassung zum SSH-Tunneling: Mit der lokalen Weiterleitung (-L) greifen Sie von Ihrem Rechner aus sicher auf interne Dienste zu, mit der Remote-Weiterleitung (-R) machen Sie lokale Dienste über einen öffentlichen Server zugänglich, die dynamische Weiterleitung (-D) erstellt einen SOCKS5-Proxy für das Routing von Datenverkehr auf Anwendungsebene, die tun-Weiterleitung ermöglicht ein vollständiges IP-VPN, und AllowTcpForwarding auf dem Server steuert diese Funktionen.