Tunele SSH i serwer proxy SOCKS

Witamy w module dotyczącym tuneli SSH! Nie są to tunele fizyczne, lecz bezpieczne połączenia umożliwiające przekierowywanie ruchu sieciowego przez serwer SSH.

Można myśleć o nich jak o tworzeniu tajnej, szyfrowanej ścieżki przez sieć publiczną. Ścieżka ta umożliwia dostęp do usług, które w przeciwnym razie mogłyby być zablokowane lub niezabezpieczone.

Tunele SSH są niezwykle wszechstronne i przydatne dla programistów oraz administratorów systemów. Pomagają:

• Omijać zapory sieciowe: uzyskiwać dostęp do usług wewnętrznych, które nie są udostępnione w publicznym internecie.
• Zabezpieczać nieszyfrowany ruch: szyfrować dane, które normalnie byłyby przesyłane niezabezpieczonym kanałem (np. przez starsze protokoły).
• Uzyskiwać dostęp do ograniczonych zasobów: łączyć się z usługami w sieci prywatnej z sieci publicznej i odwrotnie.

Lokalne przekierowanie portów polega na połączeniu portu na komputerze lokalnym z portem na komputerze zdalnym (za pośrednictwem serwera SSH).

Serwer SSH pełni funkcję pośrednika. Aplikacja lokalna łączy się z lokalnym portem, a SSH bezpiecznie przekazuje ten ruch do określonego zdalnego hosta i portu.

Składnia lokalnego przekierowania portów jest prosta:

ssh -L [local_port]:[remote_host]:[remote_port] [user]@[ssh_server]

Oto przykład uzyskania dostępu do bazy danych działającej na db-server (port 3306) przez serwer ssh-gateway:

Po wykonaniu polecenia z poprzedniej sceny mogą Państwo połączyć lokalnego klienta bazy danych z localhost:8080.

Cały ruch wysyłany do localhost:8080 zostanie bezpiecznie przekierowany przez ssh-gateway.com do db-server:3306. Jest to przydatne podczas uzyskiwania dostępu do prywatnych baz danych lub usług webowych.

Zdalne przekierowanie portów jest przeciwieństwem przekierowania lokalnego. Umożliwia udostępnienie usługi działającej na komputerze lokalnym przez port na zdalnym serwerze SSH.

Oznacza to, że inne osoby mogą połączyć się z portem zdalnego serwera SSH, a ich ruch zostanie bezpiecznie przekierowany do Państwa lokalnej usługi.

Składnia zdalnego przekierowania portów korzysta z flagi -R:

ssh -R [remote_port]:[local_host]:[local_port] [user]@[ssh_server]

Załóżmy, że na porcie 8000 lokalnie działa serwer webowy i chcą go Państwo udostępnić innym przez ssh-gateway na porcie 8888:

Po ustanowieniu zdalnego tunelu każdy, kto może połączyć się z ssh-gateway.com, uzyska dostęp do lokalnego serwera webowego, łącząc się z ssh-gateway.com:8888.

Jest to przydatne do udostępniania lokalnego serwera deweloperskiego członkom zespołu lub obsługi webhooków, które muszą łączyć się z Państwa komputerem lokalnym.

Proxy SOCKS umożliwia kierowanie całego ruchu aplikacji (np. przeglądarki internetowej lub klienta czatu) przez serwer SSH. Często wykorzystuje się je do anonimizowania przeglądania internetu lub omijania ograniczeń sieciowych.

Flaga -D tworzy proxy SOCKS na lokalnym porcie:

Po wykonaniu polecenia ssh -D 9999 user@ssh-gateway.com proxy SOCKS będzie działać pod adresem localhost:9999.

Następnie należy skonfigurować przeglądarkę internetową (lub inną aplikację), aby korzystała z localhost jako proxy SOCKS5 na porcie 9999. Cały ruch internetowy tej aplikacji będzie od tej chwili bezpiecznie kierowany przez ssh-gateway.

Próbują Państwo uzyskać dostęp z komputera lokalnego (localhost) do prywatnej wewnętrznej usługi webowej działającej pod adresem internal-app.local:80. Mają Państwo dostęp SSH do jump-host.com.

Jakiego polecenia SSH należy użyć, aby przekierować lokalny port 8080 do wewnętrznej usługi webowej?

Opanowali Państwo tunele SSH! Omówiliśmy:

• Lokalne przekierowanie portów (-L): dostęp do zdalnych usług z komputera lokalnego.
• Zdalne przekierowanie portów (-R): udostępnianie lokalnych usług zdalnemu serwerowi SSH.
• Proxy SOCKS (-D): kierowanie całego ruchu aplikacji przez serwer SSH w celu ochrony prywatności lub omijania ograniczeń.

Techniki te są potężnymi narzędziami zapewniającymi bezpieczny i elastyczny dostęp do sieci podczas programowania i administrowania systemami.