Tunelamento SSH e Técnicas de Encaminhamento de Portas

O encaminhamento de porta local (ssh -L local_port:destination_host:destination_port user@ssh_server) associa uma porta à sua máquina local. O tráfego enviado para essa porta local percorre a conexão SSH criptografada até o servidor SSH, que então se conecta ao destino. Seu aplicativo local se comunica com localhost, enquanto o SSH entrega o tráfego com segurança ao destino remoto.

Um caso de uso comum do encaminhamento de porta local é acessar um banco de dados interno atrás de um firewall. Com ssh -L 5432:db.internal:5432 user@bastion, seu cliente PostgreSQL local se conecta a localhost:5432. O servidor bastião encaminha esse tráfego para o servidor de banco de dados interno, que de outra forma ficaria inacessível pela internet.

O encaminhamento de porta remoto (ssh -R remote_port:local_host:local_port user@ssh_server) associa uma porta ao servidor SSH remoto. Quando clientes externos se conectam a essa porta remota, o tráfego retorna pelo túnel SSH até sua máquina local. Isso permite expor um serviço em execução localmente ao mundo por meio de um servidor acessível pela internet.

O encaminhamento remoto é especialmente útil quando sua máquina está atrás de NAT e não pode receber conexões de entrada diretamente. Ao criar um túnel reverso até um servidor público, você permite que clientes externos alcancem seu serviço local por meio desse servidor público. Essa técnica também é usada por algumas ferramentas de acesso remoto e sistemas de gerenciamento de dispositivos de IoT.

O encaminhamento dinâmico de portas (ssh -D local_port user@ssh_server) cria um proxy SOCKS5 na sua máquina local. Qualquer aplicativo compatível com SOCKS5 pode encaminhar o tráfego por esse proxy, que fará com que ele pareça ter origem no servidor SSH. Isso encaminha efetivamente sua navegação pela rede remota, sendo útil para acessar recursos com restrição geográfica ou contornar filtros da rede local.

Os túneis reversos são poderosos, mas introduzem riscos de segurança. Se um servidor permitir GatewayPorts, as portas encaminhadas remotamente ficarão acessíveis pela internet pública, e não apenas por localhost. Um invasor que comprometa uma máquina com um túnel reverso poderá alcançar serviços internos. As organizações devem monitorar túneis reversos não autorizados e restringir GatewayPorts nas configurações do SSH.

A configuração do servidor SSH controla os recursos de tunelamento. AllowTcpForwarding controla se o encaminhamento de portas local e remoto é permitido. AllowStreamLocalForwarding controla o encaminhamento de soquetes Unix. Definir essas opções como no desativa o tunelamento para todos os usuários; você também pode restringi-las por usuário ou por grupo. Desativar encaminhamentos desnecessários reduz a superfície de ataque.

O SSH oferece suporte à criação de interfaces de rede tun para tunelamento completo de IP (ssh -w). Isso transforma o SSH em uma VPN leve na qual pacotes IP inteiros são encaminhados pelo túnel, e não apenas conexões TCP específicas. PermitTunnel deve estar habilitado no servidor. Embora essa abordagem seja menos eficiente que um software de VPN dedicado, ela não exige software adicional e aproveita a infraestrutura SSH existente.

A multiplexação de conexões SSH (configurações ControlMaster e ControlPath) reutiliza uma conexão SSH existente para novas sessões. Isso acelera significativamente as conexões subsequentes com o mesmo servidor, o que é especialmente valioso em ambientes com scripts. Os túneis também podem permanecer ativos em várias sessões SSH usando a conexão compartilhada.

Os administradores de rede podem detectar túneis SSH por meio de padrões de tráfego incomuns: conexões TCP duradouras na porta 22, volumes de dados inesperadamente altos para conexões que deveriam transportar apenas tráfego de terminal ou conexões com destinos conhecidos como sensíveis após serem estabelecidas. A inspeção profunda de pacotes não consegue visualizar o conteúdo do SSH, mas a análise de metadados pode sinalizar comportamentos suspeitos de túneis.

Para usos autorizados, documente todos os túneis e suas finalidades. Use -N (nenhum comando) com os túneis para evitar abrir um shell desnecessariamente e -f (em segundo plano) para executá-los sem bloquear o terminal. Para túneis persistentes, use AutoSSH ou a ativação de soquetes do systemd, que reinicia automaticamente o túnel se a conexão cair.

Você deseja expor seu servidor de desenvolvimento local (em execução na porta 3000) à internet por meio de um servidor SSH público. Qual tipo de encaminhamento deve usar?

Recapitulação do tunelamento SSH: o encaminhamento local (-L) permite acessar com segurança serviços internos a partir da sua máquina, o encaminhamento remoto (-R) expõe serviços locais por meio de um servidor público, o encaminhamento dinâmico (-D) cria um proxy SOCKS5 para rotear o tráfego no nível da aplicação, o encaminhamento tun habilita uma VPN IP completa e AllowTcpForwarding no servidor controla esses recursos.