Teknik Penerowongan SSH dan Pemajuan Port

Pemajuan port setempat (ssh -L local_port:destination_host:destination_port user@ssh_server) mengikat satu port pada mesin setempat anda. Trafik yang dihantar ke port setempat itu bergerak melalui sambungan SSH yang disulitkan ke pelayan SSH, yang kemudiannya bersambung ke destinasi. Aplikasi setempat anda berkomunikasi dengan localhost, manakala SSH menghantar trafik dengan selamat ke destinasi jauh.

Kes penggunaan biasa bagi pemajuan port setempat ialah mengakses pangkalan data dalaman di sebalik tembok api. Dengan ssh -L 5432:db.internal:5432 user@bastion, klien PostgreSQL setempat anda bersambung ke localhost:5432. Hos perantara memajukan trafik ini ke pelayan pangkalan data dalaman, yang sebaliknya tidak boleh dicapai dari internet.

Pemajuan port jauh (ssh -R remote_port:local_host:local_port user@ssh_server) mengikat satu port pada pelayan SSH jauh. Apabila klien luaran bersambung ke port jauh itu, trafik mengalir kembali melalui terowong SSH ke mesin setempat anda. Ini membolehkan anda mendedahkan perkhidmatan yang berjalan secara setempat kepada dunia melalui pelayan yang menghadap internet.

Pemajuan jauh amat berguna apabila mesin anda berada di sebalik NAT dan tidak boleh menerima sambungan masuk secara langsung. Dengan mencipta terowong songsang ke pelayan awam, anda membolehkan klien luaran mencapai perkhidmatan setempat anda melalui pelayan awam tersebut. Teknik ini juga digunakan oleh sesetengah alat akses jauh dan sistem pengurusan peranti IoT.

Pemajuan port dinamik (ssh -D local_port user@ssh_server) mencipta proksi SOCKS5 pada mesin setempat anda. Mana-mana aplikasi yang menyokong SOCKS5 boleh menghalakan trafik melalui proksi ini, yang akan kelihatan seolah-olah berasal daripada pelayan SSH. Ini secara berkesan menghalakan pelayaran anda melalui rangkaian jauh, yang berguna untuk mengakses sumber yang disekat mengikut lokasi geografi atau memintas penapis rangkaian setempat.

Terowong songsang berkuasa tetapi memperkenalkan risiko keselamatan. Jika pelayan membenarkan GatewayPorts, port yang dimajukan dari jauh boleh dicapai oleh internet awam, bukan hanya localhost. Penyerang yang menjejaskan mesin dengan terowong songsang berpotensi mencapai perkhidmatan dalaman. Organisasi hendaklah memantau terowong songsang yang tidak dibenarkan dan mengehadkan GatewayPorts dalam konfigurasi SSH.

Konfigurasi pelayan SSH mengawal keupayaan penerowongan. AllowTcpForwarding mengawal sama ada pemajuan port setempat dan jauh dibenarkan. AllowStreamLocalForwarding mengawal pemajuan soket Unix. Menetapkan pilihan ini kepada no menyahdayakan penerowongan untuk semua pengguna; anda juga boleh mengehadkannya mengikut pengguna atau kumpulan. Menyahdayakan pemajuan yang tidak diperlukan mengurangkan permukaan serangan.

SSH menyokong penciptaan antara muka rangkaian tun untuk penerowongan IP penuh (ssh -w). Ini menjadikan SSH sebagai VPN ringan yang menerowong keseluruhan paket IP, bukan hanya sambungan TCP tertentu. PermitTunnel mesti didayakan pada pelayan. Walaupun kurang cekap berbanding perisian VPN khusus, pendekatan ini tidak memerlukan perisian tambahan dan memanfaatkan infrastruktur SSH sedia ada.

Pemultipleksan sambungan SSH (tetapan ControlMaster dan ControlPath) menggunakan semula sambungan SSH sedia ada untuk sesi baharu. Kaedah ini mempercepatkan sambungan seterusnya ke hos yang sama dengan ketara, dan amat berguna khususnya dalam persekitaran berskrip. Terowong juga boleh dikekalkan aktif merentasi beberapa sesi SSH menggunakan sambungan yang dikongsi.

Pentadbir rangkaian boleh mengesan pemterowongan SSH melalui corak trafik yang luar biasa: sambungan TCP yang kekal lama pada port 22, jumlah data yang jauh lebih tinggi daripada jangkaan bagi sambungan yang sepatutnya hanya membawa trafik terminal, atau sambungan ke destinasi yang diketahui sensitif selepas sambungan diwujudkan. Pemeriksaan paket mendalam tidak dapat melihat kandungan SSH, tetapi analisis metadata boleh menandai tingkah laku terowong yang mencurigakan.

Untuk penggunaan yang dibenarkan, dokumentasikan semua terowong dan tujuannya. Gunakan -N (tiada arahan) bersama terowong untuk mengelakkan pembukaan shell yang tidak diperlukan, dan -f (latar belakang) untuk menjalankannya tanpa menyekat terminal Anda. Untuk terowong berterusan, gunakan AutoSSH atau pengaktifan soket systemd, yang memulakan semula terowong secara automatik jika sambungan terputus.

Ringkasan pemterowongan SSH: pemajuan setempat (-L) membolehkan capaian selamat kepada perkhidmatan dalaman daripada mesin Anda, pemajuan jauh (-R) mendedahkan perkhidmatan setempat melalui pelayan awam, pemajuan dinamik (-D) mencipta proksi SOCKS5 untuk penghalaan trafik pada peringkat aplikasi, pemajuan tun membolehkan VPN IP penuh, dan AllowTcpForwarding pada pelayan mengawal keupayaan ini.