Cum funcționează tunelul SSH invers?

Am desenat câteva schițe

Mașina, unde se tastează comanda tunelului ssh se numește »gazda dvs.« .

Introducere

1. local: -L Specifies that the given port on the local (client) host is to be forwarded to the given host and port on the remote side.

   ssh -L sourcePort:forwardToHost:onPort connectToHost înseamnă: conectați-vă cu ssh la connectToHost și redirecționați toate încercările de conectare la local sourcePort la portul onPort pe mașina numită forwardToHost, care poate fi accesat de la mașina connectToHost.

2. la distanță: -R Specifies that the given port on the remote (server) host is to be forwarded to the given host and port on the local side.

   ssh -R sourcePort:forwardToHost:onPort connectToHost înseamnă: conectați-vă cu ssh la connectToHost și redirecționați toate încercările de conectare la la distanță sourcePort la port onPort pe aparatul numit forwardToHost, care poate fi accesat de pe aparatul dvs. local.

Opțiuni suplimentare

• -f spune ssh să se fundalizeze după ce se autentifică, deci nu trebuie să stați în jur rulând ceva pe serverul de la distanță pentru ca tunelul să rămâne în viață.
• -N spune că doriți o conexiune SSH, dar de fapt nu doriți să rulați nicio comandă la distanță. Dacă tot ce creați este un tunel, atunci includerea acestei opțiuni economisește resurse.
• -T dezactivează alocarea pseudo-tty, ceea ce este adecvat deoarece nu sunteți încercând să creați un shell interactiv.

Exemplul dvs.

A treia imagine reprezintă acest tunel. Dar computerul albastru numit »gazda ta« reprezintă computerul în care cineva începe tunelul ssh, în acest caz, mașina firewall.

Deci, cereți cuiva să înceapă o conexiune de tunel ssh la mașina dvs. Comanda ar trebui să arate în principiu ca

ssh -R 12345:localhost:22 YOURIP 

Acum tunelul este deschis.Acum vă puteți conecta prin ssh la mașina firewall prin tunel cu comanda

ssh -p 12345 localhost 

care se va conecta la propriul dvs. localhost (mașina dvs.) de pe portul 12345, dar portul 12345 este redirecționat prin tunel în portul 22 al localhost-ului firewall-ului computer (adică computerul firewall în sine).

Comentarii

• @erik, Cum ați desenat aceste imagini?
• I am folosit instrumentul de desen vectorial open source numit Inkscape și șoarecii mei (ei bine, de fapt este un trackball: Marble FX de la Logitech).
• @ghoti: În mod implicit, soclul de ascultare de pe server (în imaginea mea -R, telecomanda galbenă) va fi legat numai de interfața de loopback. Acest lucru poate fi suprascris prin specificarea unei adrese bind. O adresă bind_ goală sau adresa „*” indică faptul că soclul la distanță ar trebui să asculte pe toate interfețele. – Deci, încercați: pe un computer albastru porniți ssh -R 1234:localhost:8000 yellowcomputer. Și, de asemenea, pe mașina albastră porniți python -m SimpleHTTPServer (un simplu server web pe portul 8000). Apoi, într-un browser web de pe mașina galbenă, deschideți adresa URL http://localhost:1234 și veți vedea că funcționează.
• @erik, ah, partea confuză este pentru că ochii mei sunt rău – ‘ nu vedeam spațiul dinaintea remotehost în comenzile tale. La o inspecție mai atentă, văd că diagramele dvs. nu ‘ nu se adresează deloc adresei opționale bind_address. Ne pare rău pentru confuzie.
• @briankip Da, desigur. Cel puțin dacă doriți să faceți o conexiune ssh la computerul din spatele firewall-ului (prin tunel sau direct, dacă firewall-ul permite acest lucru). Adică: comanda ssh pe care o scrieți pe computerul firewall deschide doar un tunel, dar nu pornește sau nu funcționează ca ssh-daemon / -server. Următoarea dvs. întrebare ar trebui să fie, cum să porniți un sshd fără privilegii de root (dacă aceasta este problema dvs.). 🙂

tunelarea ssh funcționează utilizând conexiunea ssh deja stabilită pentru trimiterea de trafic suplimentar.

Când vă conectați la un server la distanță, de obicei aveți doar 1 canal pentru interacțiunea normală a utilizatorului (sau 3 canale dacă considerați STDIN / STDOUT / STDERR separate). În orice moment, procesul ssh local sau la distanță poate deschide canale suplimentare pe conexiunea existentă. Aceste canale trimit apoi / primesc traficul tunelului. Când trimiteți sau primiți orice trafic, procesul ssh spune pur și simplu „acest trafic este pentru canalul foobar”.

În esență, funcționează astfel:

1. Spuneți ssh să înceapă să asculte pe portul XXXX și că orice trafic primit trebuie tunelat, apoi setat la AAAA pe portul ZZZZ.
2. Ssh-ul local începe să asculte pe portul XXXX (în general pe 127.0.0.1, dar poate fi modificat).
3. Unele aplicații deschid o conexiune la portul XXXX de pe mașina locală.
4. Ssh local deschide un canal către ssh la distanță și spune „orice trafic pe acest canal merge la AAAA: ZZZZ
5. Ssh-ul la distanță se conectează la AAAA: ZZZZ și trimite înapoi „OK, canalul este deschis”
6. Acum orice trafic trimis de-a lungul conexiunii la port XXXX pe mașina locală este reprezentată de ssh YYYY: ZZZZ.

Acest proces este exact același atât pentru tunelarea directă, cât și pentru cea inversă (schimbați doar cuvintele „local” și „la distanță” în procedura de mai sus). Oricare dintre părți poate porni tunelul nu trebuie să fie nici măcar atunci când pornești ssh. Puteți deschide tuneluri în timp ce ssh rulează deja (consultați ESCAPE CHARACTERS, în special ~C).

Pentru rolul de -R, -f, -L și -N, ar trebui să consultați pagina de manual, vă oferă cea mai bună explicație posibilă. Dar voi menționa -R și -L.
-R spune telecomanda ssh pentru a asculta conexiunile și că ssh-ul local ar trebui să se conecteze la destinația reală. -L spune ssh-ului local să asculte conexiunile și că ssh-ul la distanță ar trebui să se conecteze la destinația reală.

Notă, aceasta este o descriere foarte grosolană, dar ar trebui să vă ofere suficiente informații pentru a ști ce se întâmplă

Acest lucru este explicat în manualul SSH, în special diferențele dintre -L (local) și -R (la distanță).

-L

-L [bind_address:]port:host:hostport

Specifică faptul că portul dat pe gazda locală (client) trebuie să fie redirecționat către gazda dată și port pe partea de la distanță .

Acest lucru funcționează prin alocarea unui socket pentru a asculta portul pe partea locală, opțional legat de adresa bind_address specificată.

Ori de câte ori se face o conexiune la acest port, conexiunea este redirecționată pe canalul securizat și se face o conexiune către host port hostport de la aparatul de la distanță .

Următorul exemplu tunelează o sesiune IRC de la computerul 127.0.0.1 (localhost) utilizând portul 1234 către serverul la distanță server.example.com:

$ ssh -f -L 1234:localhost:6667 server.example.com sleep 10 

^{Notă: Opțiunea -f backgrounds ssh și comanda la distanță sleep 10 este specificată pentru a permite o perioadă de timp pentru a porni serviciul care urmează să fie tunelat.}

Exemplu:

ssh `-N` -L 22000:localhost:11000 remote.server.com 

• -N După conectare, stai acolo (nu vei primi un prompt de shell)

  Nu executați o comandă la distanță.

• -L 22000 Conexiunea va proveni din portul 22000 al dvs. personal, L mașină ocală

• localhost:11000 – remote.server.com se va asigura că celălalt capăt al tunelului este localhost, port 11000

^{Sursă: Un ghid ilustrat, tutorial, instrucțiuni, privind tunelarea ssh .}

-R

-R [bind_address:]port:host:hostport

Specifică faptul că portul dat pe gazda la distanță (server) trebuie să fie redirecționat către g iven host și port pe partea locală .

Acest lucru funcționează prin alocarea unui socket pentru a asculta port pe partea de la distanță și ori de câte ori este realizată o conexiune la acest port, conexiunea este redirecționată pe canalul securizat și o conexiune este făcut în host port hostport de la mașina locală .

Exemplu:

ssh -N -R 22000:localhost:11000 remote.server.com 

• -N După ce vă conectați, stați acolo (nu veți primi un mesaj shell)

  Nu executați o comandă la distanță.

• -R 22000 Conexiunea va avea originea pe portul 22000 al computerului emote R (în acest caz, remote.server.com)

• computerul dvs. personal, local, se va asigura că celălalt capăt al tunelului este localhost, port 11000

^{Sursă: Un ghid ilustrat, tutorial, instrucțiuni, privind tunelarea ssh .}

Comentarii

• urechea și gura fac clar ca cine ‘ vorbește și cine ‘ ascultă!
• Îmi plac ilustrațiile!

Legarea la interfețele de rețea în timp ce stabiliți tuneluri SSH inverse este explicată în acest post . Iată un exemplu cu 4 computere care locuiesc în două rețele diferite: