SSH Tünelleme ve Bağlantı Noktası Yönlendirme Teknikleri

Yerel bağlantı noktası yönlendirme (ssh -L local_port:destination_host:destination_port user@ssh_server), yerel makinenizde bir bağlantı noktası bağlar. Bu yerel bağlantı noktasına gönderilen trafik, şifreli SSH bağlantısı üzerinden SSH sunucusuna gider; sunucu da hedefe bağlanır. Yerel uygulamanız localhost ile iletişim kurarken SSH, trafiği güvenli biçimde uzak hedefe ulaştırır.

Yerel bağlantı noktası yönlendirmenin yaygın bir kullanım alanı, güvenlik duvarının arkasındaki dahili bir veritabanına erişmektir. ssh -L 5432:db.internal:5432 user@bastion komutuyla yerel PostgreSQL istemciniz localhost:5432 adresine bağlanır. Ara sunucu, bu trafiği normalde internet üzerinden erişilemeyen dahili veritabanı sunucusuna iletir.

Uzak bağlantı noktası yönlendirme (ssh -R remote_port:local_host:local_port user@ssh_server), uzak SSH sunucusunda bir bağlantı noktası bağlar. Dış istemciler bu uzak bağlantı noktasına bağlandığında trafik, SSH tüneli üzerinden yerel makinenize geri akar. Böylece yerel olarak çalışan bir hizmeti internete açık bir sunucu aracılığıyla dış dünyaya açabilirsiniz.

Uzak yönlendirme, makineniz NAT arkasındaysa ve doğrudan gelen bağlantıları kabul edemiyorsa özellikle yararlıdır. Genel erişime açık bir sunucuya ters tünel oluşturarak dış istemcilerin yerel hizmetinize bu sunucu üzerinden ulaşmasını sağlayabilirsiniz. Bu teknik, bazı uzak erişim araçları ve Nesnelerin interneti cihaz yönetim sistemleri tarafından da kullanılır.

Dinamik bağlantı noktası yönlendirme (ssh -D local_port user@ssh_server), yerel makinenizde bir SOCKS5 vekil sunucusu oluşturur. SOCKS5 destekleyen her uygulama, trafiği SSH sunucusundan kaynaklanıyormuş gibi görünecek şekilde bu vekil sunucu üzerinden yönlendirebilir. Bu yöntem, web gezintinizi uzak ağ üzerinden yönlendirir; coğrafi kısıtlamalara tabi kaynaklara erişmek veya yerel ağ filtrelerini aşmak için yararlıdır.

Ters tüneller güçlüdür, ancak güvenlik riskleri oluşturur. Bir sunucu GatewayPorts seçeneğine izin veriyorsa, uzak yönlendirmeyle açılan bağlantı noktalarına yalnızca localhost üzerinden değil, genel internet üzerinden de erişilebilir. Ters tünel bulunan bir makineyi ele geçiren saldırgan, dahili hizmetlere ulaşabilir. Kuruluşlar, yetkisiz ters tünelleri izlemeli ve SSH yapılandırmalarında GatewayPorts seçeneğini kısıtlamalıdır.

SSH sunucusunun yapılandırması tünel oluşturma özelliklerini denetler. AllowTcpForwarding, yerel ve uzak bağlantı noktası yönlendirmesine izin verilip verilmediğini belirler. AllowStreamLocalForwarding, Unix soketi yönlendirmesini denetler. Bu seçenekleri no olarak ayarlamak tüm kullanıcılar için tünel oluşturmayı devre dışı bırakır; bunları kullanıcı veya grup bazında da kısıtlayabilirsiniz. Gereksiz yönlendirmeyi devre dışı bırakmak saldırı yüzeyini azaltır.

SSH, tam IP tünellemesi için tun ağ arayüzleri oluşturmayı destekler (ssh -w). Bu özellik, yalnızca belirli TCP bağlantılarının değil, tüm IP paketlerinin tünellendiği hafif bir VPN oluşturur. Sunucuda PermitTunnel etkinleştirilmelidir. Özel amaçlı VPN yazılımlarına göre daha düşük verimlilik sunsa da bu yaklaşım ek yazılım gerektirmez ve mevcut SSH altyapısından yararlanır.

SSH bağlantı çoklaması (ControlMaster ve ControlPath ayarları), yeni oturumlar için mevcut bir SSH bağlantısını yeniden kullanır. Bu, aynı ana bilgisayara yapılan sonraki bağlantıları büyük ölçüde hızlandırır; bu özellik özellikle betik kullanılan ortamlarda değerlidir. Tüneller, paylaşılan bağlantı kullanılarak birden çok SSH oturumu boyunca da canlı tutulabilir.

Ağ yöneticileri, alışılmadık trafik örüntüleri üzerinden SSH tünellemesini tespit edebilir: 22 numaralı bağlantı noktasında uzun süreli TCP bağlantıları, yalnızca terminal trafiği taşıması gereken bağlantılar için beklenmedik derecede yüksek veri hacimleri veya bağlantı kurulduktan sonra bilinen hassas hedeflere yapılan bağlantılar. Derin paket incelemesi SSH içeriğini göremez, ancak üst veri analizi şüpheli tünel davranışlarını işaretleyebilir.

Yetkili kullanım için tüm tünelleri ve amaçlarını belgeleyin. Gereksiz yere kabuk açmayı önlemek için tünellerle birlikte -N (komut çalıştırmama) seçeneğini, terminalinizi engellemeden çalıştırmak için de -f (arka plan) seçeneğini kullanın. Kalıcı tüneller için AutoSSH veya systemd soket etkinleştirmesini kullanın; bunlar bağlantı kesilirse tüneli otomatik olarak yeniden başlatır.

Yerel geliştirme sunucunuzu (3000 numaralı bağlantı noktasında çalışan) genel internet üzerinden erişilebilir hâle getirmek için genel erişime açık bir SSH sunucusu kullanmak istiyorsunuz. Hangi yönlendirme türünü kullanmalısınız?

SSH tünellemesine genel bakış: yerel yönlendirme (-L), makinenizden dahili hizmetlere güvenli erişim sağlar; uzak yönlendirme (-R), yerel hizmetleri genel erişime açık bir sunucu üzerinden sunar; dinamik yönlendirme (-D), uygulama düzeyindeki trafik yönlendirmesi için bir SOCKS5 vekil sunucusu oluşturur; tun yönlendirmesi tam IP VPN'i etkinleştirir ve sunucudaki AllowTcpForwarding bu özellikleri denetler.