Туннели SSH и прокси SOCKS

Добро пожаловать в раздел «Туннели SSH»! Это не физические туннели, а защищённые соединения, позволяющие перенаправлять сетевой трафик через SSH-сервер.

Представьте, что Вы создаёте секретный зашифрованный путь через общедоступную сеть. Этот путь позволяет получать доступ к службам, которые иначе могли бы быть заблокированы или небезопасны.

Туннели SSH очень универсальны и полезны разработчикам и системным администраторам. Они помогают Вам:

• Обходить межсетевые экраны: получать доступ к внутренним службам, не опубликованным в интернете.
• Защищать незашифрованный трафик: шифровать данные, которые обычно передаются небезопасно (например, при использовании старых протоколов).
• Получать доступ к ограниченным ресурсам: подключаться к службам в частной сети из общедоступной сети и наоборот.

Локальное перенаправление портов — это подключение порта на Вашем локальном компьютере к порту на удалённом компьютере через SSH-сервер.

SSH-сервер выступает посредником. Ваше локальное приложение подключается к локальному порту, а SSH безопасно перенаправляет этот трафик на указанные удалённый узел и порт.

Синтаксис локального перенаправления портов прост:

ssh -L [local_port]:[remote_host]:[remote_port] [user]@[ssh_server]

Вот пример доступа к базе данных, работающей на db-server (порт 3306), через сервер ssh-gateway:

После выполнения команды из предыдущей сцены Вы сможете подключить локальный клиент базы данных к localhost:8080.

Весь трафик, который Вы отправите на localhost:8080, будет безопасно перенаправлен через ssh-gateway.com к db-server:3306. Это удобно для доступа к частным базам данных и веб-службам.

Удалённое перенаправление портов — противоположность локальному перенаправлению. Оно позволяет опубликовать службу, работающую на Вашем локальном компьютере, через порт на удалённом SSH-сервере.

Таким образом, другие пользователи смогут подключаться к порту на удалённом SSH-сервере, а их трафик будет безопасно перенаправляться к Вашей локальной службе.

В синтаксисе удалённого перенаправления портов используется флаг -R:

ssh -R [remote_port]:[local_host]:[local_port] [user]@[ssh_server]

Допустим, на локальном компьютере работает веб-сервер на порту 8000, и Вы хотите сделать его доступным другим пользователям через ssh-gateway на порту 8888:

После создания удалённого туннеля любой, кто может подключиться к ssh-gateway.com, сможет получить доступ к Вашему локальному веб-серверу, подключившись к ssh-gateway.com:8888.

Это удобно для предоставления коллегам доступа к локальному серверу разработки или для веб-перехватчиков, которым требуется подключение к Вашему локальному компьютеру.

Прокси SOCKS позволяет направлять весь трафик приложения (например, веб-браузера или чата) через SSH-сервер. Это часто используется для анонимизации просмотра веб-страниц или обхода сетевых ограничений.

Флаг -D создаёт прокси SOCKS на локальном порту:

После выполнения команды ssh -D 9999 user@ssh-gateway.com у Вас будет запущен прокси SOCKS на localhost:9999.

Затем настройте веб-браузер или другое приложение на использование localhost в качестве прокси SOCKS5 на порту 9999. Весь интернет-трафик этого приложения теперь будет безопасно направляться через ssh-gateway.

Вы пытаетесь получить доступ с локального компьютера (localhost) к частной внутренней веб-службе, работающей по адресу internal-app.local:80. У Вас есть доступ по SSH к jump-host.com.

Какую команду SSH следует использовать, чтобы перенаправить локальный порт 8080 к внутренней веб-службе?

Вы освоили туннели SSH! Мы рассмотрели:

• Локальное перенаправление портов (-L): доступ к удалённым службам с локального компьютера.
• Удалённое перенаправление портов (-R): публикация локальных служб через удалённый SSH-сервер.
• Прокси SOCKS (-D): направление всего трафика приложения через SSH-сервер для обеспечения конфиденциальности или обхода ограничений.

Эти методы — мощные инструменты для безопасного и гибкого доступа к сети при разработке и администрировании.