เทคนิคการสร้างอุโมงค์ SSH และการส่งต่อพอร์ต

การส่งต่อพอร์ตภายในเครื่อง (ssh -L local_port:destination_host:destination_port user@ssh_server) จะผูกพอร์ตหนึ่งเข้ากับเครื่องภายในเครื่องของคุณ ข้อมูลที่ส่งไปยังพอร์ตภายในเครื่องนั้นจะเดินทางผ่านการเชื่อมต่อ SSH ที่เข้ารหัสไปยังเซิร์ฟเวอร์ SSH จากนั้นเซิร์ฟเวอร์จะเชื่อมต่อไปยังปลายทาง แอปพลิเคชันภายในเครื่องของคุณจึงสื่อสารกับ localhost ขณะที่ SSH ส่งข้อมูลไปยังปลายทางระยะไกลอย่างปลอดภัย

กรณีใช้งานทั่วไปของการส่งต่อพอร์ตภายในเครื่องคือการเข้าถึงฐานข้อมูลภายในที่อยู่หลังไฟร์วอลล์ เมื่อใช้ ssh -L 5432:db.internal:5432 user@bastion ไคลเอนต์ PostgreSQL ภายในเครื่องของคุณจะเชื่อมต่อกับ localhost:5432 โฮสต์ตัวกลางจะส่งต่อข้อมูลนี้ไปยังเซิร์ฟเวอร์ฐานข้อมูลภายใน ซึ่งโดยปกติไม่สามารถเข้าถึงได้จากอินเทอร์เน็ต

การส่งต่อพอร์ตระยะไกล (ssh -R remote_port:local_host:local_port user@ssh_server) จะผูกพอร์ตหนึ่งเข้ากับเซิร์ฟเวอร์ SSH ระยะไกล เมื่อไคลเอนต์ภายนอกเชื่อมต่อกับพอร์ตระยะไกลนั้น ข้อมูลจะไหลย้อนกลับผ่านช่องสัญญาณ SSH ไปยังเครื่องภายในเครื่องของคุณ วิธีนี้ช่วยให้คุณเปิดเผยบริการที่กำลังทำงานอยู่ภายในเครื่องออกสู่ภายนอกผ่านเซิร์ฟเวอร์ที่เชื่อมต่ออินเทอร์เน็ต

การส่งต่อระยะไกลมีประโยชน์เป็นพิเศษเมื่อเครื่องของคุณอยู่หลัง NAT และไม่สามารถรับการเชื่อมต่อขาเข้าได้โดยตรง ด้วยการสร้างช่องสัญญาณย้อนกลับไปยังเซิร์ฟเวอร์สาธารณะ คุณจะอนุญาตให้ไคลเอนต์ภายนอกเข้าถึงบริการภายในเครื่องผ่านเซิร์ฟเวอร์สาธารณะได้ เทคนิคนี้ยังใช้โดยเครื่องมือเข้าถึงระยะไกลและระบบจัดการอุปกรณ์ IoT บางประเภท

การส่งต่อพอร์ตแบบไดนามิก (ssh -D local_port user@ssh_server) จะสร้างพร็อกซี SOCKS5 บนเครื่องภายในเครื่องของคุณ แอปพลิเคชันใด ๆ ที่รองรับ SOCKS5 สามารถกำหนดเส้นทางข้อมูลผ่านพร็อกซีนี้ ซึ่งจะปรากฏว่ามาจากเซิร์ฟเวอร์ SSH วิธีนี้จะกำหนดเส้นทางการท่องเว็บของคุณผ่านเครือข่ายระยะไกลอย่างมีประสิทธิผล และมีประโยชน์สำหรับการเข้าถึงทรัพยากรที่จำกัดตามภูมิภาคหรือหลีกเลี่ยงตัวกรองเครือข่ายภายในเครื่อง

ช่องสัญญาณย้อนกลับมีประสิทธิภาพสูง แต่ก็นำมาซึ่งความเสี่ยงด้านความปลอดภัย หากเซิร์ฟเวอร์อนุญาตให้ใช้ GatewayPorts พอร์ตที่ส่งต่อระยะไกลจะเข้าถึงได้จากอินเทอร์เน็ตสาธารณะ ไม่ใช่เฉพาะจาก localhost ผู้โจมตีที่ยึดครองเครื่องซึ่งมีช่องสัญญาณย้อนกลับอาจเข้าถึงบริการภายในได้ องค์กรควรเฝ้าติดตามช่องสัญญาณย้อนกลับที่ไม่ได้รับอนุญาตและจำกัด GatewayPorts ในการกำหนดค่า SSH

การกำหนดค่าเซิร์ฟเวอร์ SSH จะควบคุมความสามารถในการสร้างช่องสัญญาณ AllowTcpForwarding ควบคุมว่าจะอนุญาตให้ส่งต่อพอร์ตภายในเครื่องและพอร์ตระยะไกลหรือไม่ AllowStreamLocalForwarding ควบคุมการส่งต่อซ็อกเก็ต Unix การตั้งค่าทั้งสองเป็น no จะปิดใช้งานการสร้างช่องสัญญาณสำหรับผู้ใช้ทั้งหมด และคุณยังสามารถจำกัดการตั้งค่าเหล่านี้เป็นรายผู้ใช้หรือรายกลุ่มได้ การปิดใช้การส่งต่อที่ไม่จำเป็นจะช่วยลดพื้นที่โจมตี

SSH รองรับการสร้างอินเทอร์เฟซเครือข่าย tun สำหรับการสร้างช่องสัญญาณ IP ทั้งหมด (ssh -w) วิธีนี้ทำให้ SSH ทำหน้าที่เป็น VPN ขนาดเล็ก โดยส่งแพ็กเก็ต IP ทั้งหมดผ่านช่องสัญญาณ ไม่ใช่เพียงการเชื่อมต่อ TCP เฉพาะรายการ ต้องเปิดใช้งาน PermitTunnel บนเซิร์ฟเวอร์ แม้จะมีประสิทธิภาพน้อยกว่าซอฟต์แวร์ VPN โดยเฉพาะ แต่วิธีนี้ไม่ต้องใช้ซอฟต์แวร์เพิ่มเติมและใช้โครงสร้างพื้นฐาน SSH ที่มีอยู่แล้ว

การมัลติเพล็กซ์การเชื่อมต่อ SSH (การตั้งค่า ControlMaster และ ControlPath) นำการเชื่อมต่อ SSH ที่มีอยู่กลับมาใช้กับเซสชันใหม่ วิธีนี้ช่วยเพิ่มความเร็วให้การเชื่อมต่อครั้งถัดไปไปยังเครื่องเดียวกันได้อย่างมาก ซึ่งมีประโยชน์เป็นพิเศษในสภาพแวดล้อมที่ทำงานด้วยสคริปต์ นอกจากนี้ ยังสามารถทำให้อุโมงค์ทำงานต่อเนื่องผ่านการเชื่อมต่อ SSH หลายครั้งได้โดยใช้การเชื่อมต่อร่วมกัน

ผู้ดูแลระบบเครือข่ายสามารถตรวจจับการทำอุโมงค์ SSH ได้จากรูปแบบการรับส่งข้อมูลที่ผิดปกติ เช่น การเชื่อมต่อ TCP ที่คงอยู่นานบนพอร์ต 22 ปริมาณข้อมูลที่สูงเกินคาดสำหรับการเชื่อมต่อที่ควรรับส่งเพียงข้อมูลจากเทอร์มินัล หรือการเชื่อมต่อไปยังปลายทางที่มีความละเอียดอ่อนซึ่งเป็นที่รู้จักหลังจากสร้างการเชื่อมต่อแล้ว การตรวจสอบแพ็กเก็ตเชิงลึกไม่สามารถมองเห็นเนื้อหาของ SSH ได้ แต่การวิเคราะห์เมทาดาทาสามารถระบุพฤติกรรมการทำอุโมงค์ที่น่าสงสัยได้

สำหรับการใช้งานที่ได้รับอนุญาต โปรดบันทึกอุโมงค์ทั้งหมดและวัตถุประสงค์ของอุโมงค์ ใช้ -N (ไม่มีคำสั่ง) กับอุโมงค์เพื่อหลีกเลี่ยงการเปิดอินเทอร์เฟซคำสั่งโดยไม่จำเป็น และใช้ -f (ทำงานเบื้องหลัง) เพื่อให้ทำงานโดยไม่บล็อกเทอร์มินัลของคุณ สำหรับอุโมงค์ที่ต้องทำงานต่อเนื่อง ให้ใช้ AutoSSH หรือการเปิดใช้งานซ็อกเก็ตด้วย systemd ซึ่งจะเริ่มอุโมงค์ใหม่โดยอัตโนมัติหากการเชื่อมต่อขาดหาย

สรุปการทำอุโมงค์ SSH: การส่งต่อภายในเครื่อง (-L) ช่วยให้เข้าถึงบริการภายในจากเครื่องของคุณได้อย่างปลอดภัย การส่งต่อระยะไกล (-R) เปิดให้เข้าถึงบริการภายในเครื่องผ่านเซิร์ฟเวอร์สาธารณะ การส่งต่อแบบไดนามิก (-D) สร้างพร็อกซี SOCKS5 สำหรับกำหนดเส้นทางข้อมูลระดับแอปพลิเคชัน การส่งต่อ tun เปิดใช้งาน VPN แบบ IP เต็มรูปแบบ และ AllowTcpForwarding บนเซิร์ฟเวอร์จะควบคุมความสามารถเหล่านี้