Туннелирование SSH и методы перенаправления портов

Локальное перенаправление порта (ssh -L local_port:destination_host:destination_port user@ssh_server) привязывает порт на Вашем локальном компьютере. Трафик, отправленный на этот локальный порт, проходит через зашифрованное соединение SSH к серверу SSH, который затем подключается к месту назначения. Ваше локальное приложение взаимодействует с localhost, а SSH безопасно доставляет трафик удалённому месту назначения.

Распространённый вариант использования локального перенаправления порта — доступ к внутренней базе данных за межсетевым экраном. При выполнении ssh -L 5432:db.internal:5432 user@bastion Ваш локальный клиент PostgreSQL подключается к localhost:5432. Бастионный узел перенаправляет этот трафик на внутренний сервер базы данных, который иначе недоступен из Интернета.

Удалённое перенаправление порта (ssh -R remote_port:local_host:local_port user@ssh_server) привязывает порт на удалённом сервере SSH. Когда внешние клиенты подключаются к этому удалённому порту, трафик возвращается через туннель SSH к Вашему локальному компьютеру. Это позволяет открыть доступ к локально работающей службе всему миру через сервер, подключённый к Интернету.

Удалённое перенаправление особенно полезно, когда Ваш компьютер находится за NAT и не может напрямую принимать входящие соединения. Создав обратный туннель к общедоступному серверу, Вы позволяете внешним клиентам обращаться к локальной службе через этот сервер. Эта технология также используется некоторыми средствами удалённого доступа и системами управления устройствами Интернета вещей.

Динамическое перенаправление портов (ssh -D local_port user@ssh_server) создаёт прокси SOCKS5 на Вашем локальном компьютере. Любое приложение с поддержкой SOCKS5 может направлять трафик через этот прокси, и для внешнего наблюдателя он будет исходить с сервера SSH. Таким образом, просмотр веб-страниц проходит через удалённую сеть, что удобно для доступа к ресурсам с региональными ограничениями или обхода фильтров локальной сети.

Обратные туннели предоставляют широкие возможности, но создают риски для безопасности. Если сервер разрешает GatewayPorts, порты, перенаправленные удалённо, становятся доступными из общедоступного Интернета, а не только через localhost. Злоумышленник, скомпрометировавший компьютер с обратным туннелем, потенциально может получить доступ к внутренним службам. Организациям следует отслеживать несанкционированные обратные туннели и ограничивать GatewayPorts в конфигурациях SSH.

Конфигурация сервера SSH управляет возможностями туннелирования. AllowTcpForwarding определяет, разрешено ли локальное и удалённое перенаправление портов. AllowStreamLocalForwarding управляет перенаправлением сокетов Unix. Установка для этих параметров значения no отключает туннелирование для всех пользователей; кроме того, их можно ограничить для отдельных пользователей или групп. Отключение ненужного перенаправления уменьшает поверхность атаки.

SSH поддерживает создание сетевых интерфейсов tun для полного туннелирования IP (ssh -w). Это превращает SSH в облегчённую VPN, через которую туннелируются целые IP-пакеты, а не только определённые TCP-соединения. PermitTunnel должен быть включён на сервере. Хотя такой подход менее эффективен, чем специализированное ПО VPN, он не требует дополнительного программного обеспечения и использует существующую инфраструктуру SSH.

Мультиплексирование SSH-соединений (настройки ControlMaster и ControlPath) повторно использует существующее SSH-соединение для новых сеансов. Это значительно ускоряет последующие соединения с тем же узлом, что особенно ценно в средах со скриптами. Туннели также можно поддерживать активными в нескольких SSH-сеансах с помощью общего соединения.

Сетевые администраторы могут обнаружить туннелирование SSH по необычным характеристикам трафика: длительным TCP-соединениям через порт 22, неожиданно большим объёмам данных для соединений, которые должны передавать только терминальный трафик, или подключениям к заведомо чувствительным узлам после установления соединения. Глубокий анализ пакетов не позволяет увидеть содержимое SSH, но анализ метаданных может выявить подозрительное поведение туннеля.

При авторизованном использовании документируйте все туннели и их назначение. Используйте -N (без команды) с туннелями, чтобы не открывать оболочку без необходимости, и -f (в фоновом режиме), чтобы они не блокировали терминал. Для постоянных туннелей используйте AutoSSH или активацию сокета systemd, которая автоматически перезапускает туннель при разрыве соединения.

Вы хотите открыть доступ к локальному серверу разработки (работающему через порт 3000) из интернета через общедоступный SSH-сервер. Какой тип переадресации следует использовать?

Повторим материал о туннелировании SSH: локальная переадресация (-L) обеспечивает безопасный доступ к внутренним службам с вашего компьютера, удалённая переадресация (-R) открывает доступ к локальным службам через общедоступный сервер, динамическая переадресация (-D) создаёт прокси SOCKS5 для маршрутизации трафика на уровне приложений, переадресация tun обеспечивает полноценный IP VPN, а AllowTcpForwarding на сервере управляет этими возможностями.