Tunnel SSH e proxy SOCKS

Benvenuto nei tunnel SSH! Non si tratta di tunnel fisici, ma di connessioni sicure che consentono di inoltrare il traffico di rete attraverso un server SSH.

Immagini di creare un percorso segreto e crittografato attraverso una rete pubblica. Questo percorso Le permette di accedere a servizi che altrimenti potrebbero essere bloccati o non sicuri.

I tunnel SSH sono estremamente versatili per sviluppatori e amministratori di sistema. Consentono di:

• Superare i firewall: accedere a servizi interni non esposti a Internet.
• Proteggere il traffico non crittografato: crittografare dati che normalmente viaggerebbero senza protezione, come quelli dei protocolli obsoleti.
• Accedere a risorse con accesso limitato: raggiungere servizi su una rete privata da una rete pubblica o viceversa.

Il port forwarding locale consiste nel collegare una porta del computer locale a una porta di un computer remoto, tramite il server SSH.

Il server SSH funge da intermediario. L'applicazione locale si connette a una porta locale e SSH inoltra in modo sicuro il traffico all'host e alla porta remoti specificati.

La sintassi per il port forwarding locale è semplice:

ssh -L [local_port]:[remote_host]:[remote_port] [user]@[ssh_server]

Ecco un esempio per accedere a un database in esecuzione su db-server (porta 3306) tramite il server ssh-gateway:

Dopo aver eseguito il comando della scena precedente, può connettere il client di database locale a localhost:8080.

Tutto il traffico inviato a localhost:8080 verrà inoltrato in modo sicuro attraverso ssh-gateway.com a db-server:3306. È molto utile per accedere a database o servizi web privati.

Il port forwarding remoto è l'opposto del forwarding locale. Consente di esporre un servizio in esecuzione sul computer locale tramite una porta del server SSH remoto.

In questo modo, altre persone possono connettersi a una porta del server SSH remoto e il loro traffico verrà inoltrato in modo sicuro al Suo servizio locale.

La sintassi per il port forwarding remoto usa l'opzione -R:

ssh -R [remote_port]:[local_host]:[local_port] [user]@[ssh_server]

Supponiamo che Lei abbia un server web in esecuzione localmente sulla porta 8000 e voglia renderlo accessibile ad altri tramite ssh-gateway sulla porta 8888:

Una volta stabilito il tunnel remoto, chiunque possa raggiungere ssh-gateway.com potrà accedere al Suo server web locale connettendosi a ssh-gateway.com:8888.

È utile per condividere un server di sviluppo locale con i membri del team o per webhook che devono raggiungere il Suo computer.

Un proxy SOCKS consente di instradare tutto il traffico della Sua applicazione, ad esempio del browser web o del client di chat, attraverso il server SSH. Viene spesso usato per rendere anonima la navigazione o aggirare le restrizioni di rete.

L'opzione -D crea un proxy SOCKS su una porta locale:

Dopo aver eseguito ssh -D 9999 user@ssh-gateway.com, avrà un proxy SOCKS in esecuzione su localhost:9999.

Configuri quindi il browser web, o un'altra applicazione, per usare localhost come proxy SOCKS5 sulla porta 9999. Da quel momento tutto il traffico Internet dell'applicazione verrà instradato in modo sicuro attraverso il Suo ssh-gateway.

Sta cercando di accedere dal computer locale (localhost) a un servizio web interno privato in esecuzione su internal-app.local:80. Dispone dell'accesso SSH a jump-host.com.

Quale comando SSH userebbe per inoltrare la porta locale 8080 al servizio web interno?

Ha acquisito padronanza dei tunnel SSH! Abbiamo visto:

• Port forwarding locale (-L): accedere ai servizi remoti dal computer locale.
• Port forwarding remoto (-R): esporre i servizi locali al server SSH remoto.
• Proxy SOCKS (-D): instradare tutto il traffico delle applicazioni attraverso il server SSH per tutelare la privacy o aggirare le restrizioni.

Queste tecniche sono strumenti potenti per ottenere un accesso alla rete sicuro e flessibile, sia nello sviluppo sia nell'amministrazione.