Tecniche di tunneling SSH e port forwarding

Il port forwarding locale (ssh -L local_port:destination_host:destination_port user@ssh_server) associa una porta del computer locale. Il traffico inviato a quella porta attraversa la connessione SSH cifrata fino al server SSH, che si connette quindi alla destinazione. L'applicazione locale comunica con localhost, mentre SSH trasporta il traffico in modo sicuro fino alla destinazione remota.

Un caso d'uso comune del port forwarding locale consiste nell'accedere a un database interno dietro un firewall. Con ssh -L 5432:db.internal:5432 user@bastion, il client PostgreSQL locale si connette a localhost:5432. Il bastion host inoltra questo traffico al server del database interno, che altrimenti non sarebbe raggiungibile da Internet.

Il port forwarding remoto (ssh -R remote_port:local_host:local_port user@ssh_server) associa una porta del server SSH remoto. Quando client esterni si connettono a quella porta remota, il traffico torna indietro attraverso il tunnel SSH fino al computer locale. In questo modo è possibile esporre un servizio in esecuzione localmente tramite un server connesso a Internet.

Il forwarding remoto è particolarmente utile quando il computer si trova dietro NAT e non può ricevere direttamente connessioni in ingresso. Creando un tunnel inverso verso un server pubblico, si consente ai client esterni di raggiungere il servizio locale attraverso il server pubblico. Questa tecnica viene utilizzata anche da alcuni strumenti di accesso remoto e sistemi di gestione dei dispositivi IoT.

Il port forwarding dinamico (ssh -D local_port user@ssh_server) crea un proxy SOCKS5 sul computer locale. Qualsiasi applicazione compatibile con SOCKS5 può instradare il traffico attraverso questo proxy, che risulterà provenire dal server SSH. In pratica, il traffico di navigazione viene instradato attraverso la rete remota, una soluzione utile per accedere a risorse soggette a restrizioni geografiche o aggirare i filtri della rete locale.

I tunnel inversi sono potenti, ma introducono rischi per la sicurezza. Se un server consente GatewayPorts, le porte inoltrate in remoto diventano accessibili da Internet, non solo da localhost. Un aggressore che comprometta una macchina con un tunnel inverso potrebbe raggiungere i servizi interni. Le organizzazioni dovrebbero monitorare i tunnel inversi non autorizzati e limitare GatewayPorts nelle configurazioni SSH.

La configurazione del server SSH controlla le funzionalità di tunneling. AllowTcpForwarding determina se il port forwarding locale e remoto è consentito. AllowStreamLocalForwarding determina se è consentito il forwarding dei socket Unix. Impostando questi parametri su no si disabilita il tunneling per tutti gli utenti; è anche possibile limitarli per singolo utente o gruppo. Disabilitare il forwarding non necessario riduce la superficie di attacco.

SSH supporta la creazione di interfacce di rete tun per il tunneling IP completo (ssh -w). In questo modo SSH diventa una VPN leggera in cui vengono instradati interi pacchetti IP, non solo connessioni TCP specifiche. PermitTunnel deve essere abilitato sul server. Sebbene sia meno efficiente dei software VPN dedicati, questo approccio non richiede software aggiuntivo e sfrutta l'infrastruttura SSH esistente.

Il multiplexing delle connessioni SSH (impostazioni ControlMaster e ControlPath) riutilizza una connessione SSH esistente per le nuove sessioni. Questo accelera notevolmente le connessioni successive allo stesso host, il che è particolarmente utile negli ambienti con script. I tunnel possono inoltre rimanere attivi tra più sessioni SSH utilizzando la connessione condivisa.

Gli amministratori di rete possono rilevare il tunneling SSH attraverso schemi di traffico insoliti: connessioni TCP di lunga durata sulla porta 22, volumi di dati inaspettatamente elevati per connessioni che dovrebbero trasportare solo traffico da terminale oppure connessioni verso destinazioni note come sensibili dopo la loro instaurazione. L'ispezione approfondita dei pacchetti non può visualizzare il contenuto SSH, ma l'analisi dei metadati può segnalare comportamenti sospetti dei tunnel.

Per gli utilizzi autorizzati, documenti tutti i tunnel e i relativi scopi. Utilizzi -N (nessun comando) con i tunnel per evitare di aprire una shell inutilmente e -f (in background) per eseguirli senza bloccare il terminale. Per i tunnel persistenti, utilizzi AutoSSH o l'attivazione dei socket di systemd, che riavviano automaticamente il tunnel se la connessione cade.

Riepilogo del tunneling SSH: il forwarding locale (-L) consente di raggiungere in modo sicuro i servizi interni dalla propria macchina, il forwarding remoto (-R) espone i servizi locali attraverso un server pubblico, il forwarding dinamico (-D) crea un proxy SOCKS5 per instradare il traffico a livello applicativo, il forwarding tun abilita una VPN IP completa e AllowTcpForwarding sul server controlla queste funzionalità.