SSH-Tunnel und SOCKS-Proxy

Willkommen bei den SSH-Tunneln! Dabei handelt es sich nicht um physische Tunnel, sondern um sichere Verbindungen, über die Sie Netzwerkverkehr durch einen SSH-Server weiterleiten können.

Stellen Sie sich vor, Sie würden einen geheimen, verschlüsselten Pfad durch ein öffentliches Netzwerk erstellen. Über diesen Pfad können Sie auf Dienste zugreifen, die andernfalls blockiert oder unsicher wären.

SSH-Tunnel sind für Entwickler und Systemadministratoren äußerst vielseitig. Sie helfen Ihnen dabei:

• Firewalls zu umgehen: Auf interne Dienste zuzugreifen, die nicht im öffentlichen Internet verfügbar sind.
• Unverschlüsselten Datenverkehr zu sichern: Daten zu verschlüsseln, die normalerweise unsicher übertragen würden (etwa bei älteren Protokollen).
• Auf eingeschränkte Ressourcen zuzugreifen: Von einem öffentlichen Netzwerk aus auf Dienste in einem privaten Netzwerk zuzugreifen – oder umgekehrt.

Bei der lokalen Portweiterleitung verbinden Sie einen Port auf Ihrem lokalen Rechner mit einem Port auf einem entfernten Rechner (über den SSH-Server).

Der SSH-Server fungiert als Vermittler. Ihre lokale Anwendung verbindet sich mit einem lokalen Port, und SSH leitet diesen Datenverkehr sicher an den angegebenen entfernten Host und Port weiter.

Die Syntax für die lokale Portweiterleitung ist unkompliziert:

ssh -L [local_port]:[remote_host]:[remote_port] [user]@[ssh_server]

Hier ein Beispiel für den Zugriff auf eine Datenbank, die auf db-server (Port 3306) läuft, über Ihren Server ssh-gateway:

Nachdem Sie den Befehl aus dem vorherigen Abschnitt ausgeführt haben, können Sie Ihren lokalen Datenbank-Client nun mit localhost:8080 verbinden.

Der gesamte Datenverkehr, den Sie an localhost:8080 senden, wird sicher über ssh-gateway.com an db-server:3306 weitergeleitet. Das ist besonders nützlich für den Zugriff auf private Datenbanken oder Webdienste.

Bei der entfernten Portweiterleitung handelt es sich um das Gegenstück zur lokalen Weiterleitung. Damit können Sie einen Dienst, der auf Ihrem lokalen Rechner läuft, über einen Port auf dem entfernten SSH-Server zugänglich machen.

Dadurch können andere eine Verbindung zu einem Port auf dem entfernten SSH-Server herstellen, wobei ihr Datenverkehr sicher an Ihren lokalen Dienst weitergeleitet wird.

Die Syntax für die entfernte Portweiterleitung verwendet das Flag -R:

ssh -R [remote_port]:[local_host]:[local_port] [user]@[ssh_server]

Angenommen, auf Ihrem Rechner läuft ein Webserver auf Port 8000 und Sie möchten ihn für andere über Ihr ssh-gateway auf Port 8888 zugänglich machen:

Sobald der entfernte Tunnel eingerichtet ist, kann jeder, der ssh-gateway.com erreichen kann, auf Ihren lokalen Webserver zugreifen, indem er eine Verbindung zu ssh-gateway.com:8888 herstellt.

Das ist nützlich, um einen lokalen Entwicklungsserver mit Teammitgliedern zu teilen oder Webhooks zu verwenden, die Ihren lokalen Rechner erreichen müssen.

Mit einem SOCKS-Proxy können Sie den gesamten Datenverkehr Ihrer Anwendung (z. B. von einem Webbrowser oder Chat-Client) über den SSH-Server leiten. Dies wird häufig verwendet, um das Surfen zu anonymisieren oder Netzwerkbeschränkungen zu umgehen.

Das Flag -D erstellt einen SOCKS-Proxy auf einem lokalen Port:

Nachdem Sie ssh -D 9999 user@ssh-gateway.com ausgeführt haben, läuft ein SOCKS-Proxy unter localhost:9999.

Konfigurieren Sie anschließend Ihren Webbrowser (oder eine andere Anwendung) so, dass er localhost als SOCKS5-Proxy auf Port 9999 verwendet. Der gesamte Internetverkehr dieser Anwendung wird nun sicher über Ihr ssh-gateway geleitet.

Sie versuchen, von Ihrem lokalen Rechner (localhost) auf einen privaten internen Webdienst unter internal-app.local:80 zuzugreifen. Sie haben SSH-Zugriff auf jump-host.com.

Welchen SSH-Befehl würden Sie verwenden, um den lokalen Port 8080 an den internen Webdienst weiterzuleiten?

Sie beherrschen nun SSH-Tunnel! Wir haben Folgendes behandelt:

• Lokale Portweiterleitung (-L): Zugriff auf entfernte Dienste von Ihrem lokalen Rechner aus.
• Entfernte Portweiterleitung (-R): Lokale Dienste für den entfernten SSH-Server zugänglich machen.
• SOCKS-Proxy (-D): Den gesamten Anwendungsverkehr aus Datenschutzgründen oder zum Umgehen von Einschränkungen über den SSH-Server leiten.

Diese Techniken sind leistungsstarke Werkzeuge für einen sicheren und flexiblen Netzwerkzugriff bei Entwicklung und Administration.