Tunelowanie SSH i techniki przekierowywania portów

Lokalne przekierowanie portu (ssh -L local_port:destination_host:destination_port user@ssh_server) wiąże port na lokalnym komputerze. Ruch wysyłany na ten port lokalny przechodzi przez szyfrowane połączenie SSH do serwera SSH, który następnie łączy się z miejscem docelowym. Lokalna aplikacja komunikuje się z localhost, a SSH bezpiecznie dostarcza ruch do zdalnego celu.

Typowym zastosowaniem lokalnego przekierowania portu jest dostęp do wewnętrznej bazy danych znajdującej się za zaporą sieciową. Po użyciu ssh -L 5432:db.internal:5432 user@bastion lokalny klient PostgreSQL łączy się z localhost:5432. Host bastionowy przekazuje ten ruch do wewnętrznego serwera bazy danych, który w przeciwnym razie byłby nieosiągalny z internetu.

Zdalne przekierowanie portu (ssh -R remote_port:local_host:local_port user@ssh_server) wiąże port na zdalnym serwerze SSH. Gdy zewnętrzni klienci łączą się z tym zdalnym portem, ruch przepływa przez tunel SSH z powrotem do lokalnego komputera. Pozwala to udostępnić usługę działającą lokalnie za pośrednictwem serwera dostępnego z internetu.

Zdalne przekierowanie jest szczególnie przydatne, gdy komputer znajduje się za NAT-em i nie może bezpośrednio odbierać połączeń przychodzących. Tworząc tunel zwrotny do publicznego serwera, można umożliwić klientom zewnętrznym dostęp do lokalnej usługi za pośrednictwem tego serwera. Technika ta jest również wykorzystywana przez niektóre narzędzia zdalnego dostępu i systemy zarządzania urządzeniami IoT.

Dynamiczne przekierowanie portu (ssh -D local_port user@ssh_server) tworzy proxy SOCKS5 na lokalnym komputerze. Każda aplikacja obsługująca SOCKS5 może kierować ruch przez to proxy, dzięki czemu będzie on wyglądał, jakby pochodził z serwera SSH. W praktyce kieruje to przeglądanie przez sieć zdalną, co jest przydatne do uzyskiwania dostępu do zasobów ograniczonych geograficznie lub omijania lokalnych filtrów sieciowych.

Tunele zwrotne są przydatne, ale wiążą się z ryzykiem bezpieczeństwa. Jeśli serwer zezwala na GatewayPorts, porty przekierowane zdalnie stają się dostępne z publicznego internetu, a nie tylko z localhost. Napastnik, który przejmie komputer z tunelem zwrotnym, może potencjalnie uzyskać dostęp do usług wewnętrznych. Organizacje powinny monitorować nieautoryzowane tunele zwrotne i ograniczać GatewayPorts w konfiguracjach SSH.

Konfiguracja serwera SSH steruje możliwościami tunelowania. AllowTcpForwarding określa, czy dozwolone jest lokalne i zdalne przekierowanie portów. AllowStreamLocalForwarding określa, czy dozwolone jest przekierowanie gniazd uniksowych. Ustawienie tych opcji na no wyłącza tunelowanie dla wszystkich użytkowników; można je również ograniczyć dla poszczególnych użytkowników lub grup. Wyłączenie zbędnego przekierowywania zmniejsza powierzchnię ataku.

SSH obsługuje tworzenie interfejsów sieciowych tun na potrzeby pełnego tunelowania IP (ssh -w). Dzięki temu SSH staje się lekkim VPN-em, w którym tunelowane są całe pakiety IP, a nie tylko określone połączenia TCP. Na serwerze musi być włączona opcja PermitTunnel. Choć to rozwiązanie jest mniej wydajne niż dedykowane oprogramowanie VPN, nie wymaga dodatkowego oprogramowania i wykorzystuje istniejącą infrastrukturę SSH.

Multipleksowanie połączeń SSH (ustawienia ControlMaster i ControlPath) pozwala ponownie wykorzystać istniejące połączenie SSH podczas ustanawiania nowych sesji. Znacznie przyspiesza to kolejne połączenia z tym samym hostem, co jest szczególnie przydatne w środowiskach wykorzystujących skrypty. Tunele można również utrzymywać między wieloma sesjami SSH za pośrednictwem współdzielonego połączenia.

Administratorzy sieci mogą wykrywać tunelowanie SSH na podstawie nietypowych wzorców ruchu: długotrwałych połączeń TCP na porcie 22, niespodziewanie dużych ilości danych w połączeniach, które powinny obsługiwać wyłącznie ruch terminalowy, lub połączeń z miejscami docelowymi znanymi jako wrażliwe, nawiązywanych już po ustanowieniu sesji. Głęboka inspekcja pakietów nie pozwala zobaczyć zawartości SSH, ale analiza metadanych może wskazać podejrzane zachowanie tunelu.

W przypadku autoryzowanego użycia należy udokumentować wszystkie tunele i ich przeznaczenie. Z tunelami należy używać opcji -N (bez polecenia), aby nie otwierać niepotrzebnie powłoki, oraz opcji -f (w tle), aby uruchamiać je bez blokowania terminala. W przypadku tuneli trwałych należy użyć AutoSSH lub aktywacji gniazda przez systemd, które automatycznie ponownie uruchamiają tunel po zerwaniu połączenia.

Chcą Państwo udostępnić lokalny serwer deweloperski (działający na porcie 3000) w internecie za pośrednictwem publicznego serwera SSH. Jakiego typu przekierowania należy użyć?

Podsumowanie tunelowania SSH: przekierowanie lokalne (-L) umożliwia bezpieczny dostęp z Państwa komputera do usług wewnętrznych, przekierowanie zdalne (-R) udostępnia usługi lokalne za pośrednictwem publicznego serwera, przekierowanie dynamiczne (-D) tworzy serwer proxy SOCKS5 do trasowania ruchu na poziomie aplikacji, przekierowanie tun pozwala utworzyć pełną sieć VPN IP, a ustawienie AllowTcpForwarding na serwerze kontroluje te możliwości.