Библиотека сайта rus-linux.net
Как получить доступ к серверу Linux за NAT через обратный туннель SSH
Оригинал: How to access a Linux server behind NAT via reverse SSH tunnel
Автор: Dan Nanni
Дата публикации: May 4, 2015
Перевод: Н.Ромоданов
Дата перевода: сентябрь 2015 г.
Вы запустили Linux-сервер дома, который находится за маршрутизатором NAT или защищен брандмауэром. Теперь, когда вы находитесь не дома, вам нужен доступ к домашнему серверу через SSH. Как это настроить? Возможным вариантом будет, безусловно, перенаправление на порт SSH. Однако перенаправление портов может оказаться более сложным в случае, если у вас среда с несколькими вложенными NAT. Кроме того, на выбранное решение могут оказывать влияние различные ограничения, устанавливаемые интернет-провайдерами, например, ограничительные брандмауэры провайдеров, которые блокируют перенаправление портов или NAT с трансляцией адресов, что позволяет пользователям одновременно пользоваться одними и теми же адресами IPv4.
Что такое обратное туннелирование SSH?
Одной из альтернатив перенаправлению портов SSH является обратное туннелирование SSH. Концепция реверсного туннелирования SSH сравнительно проста. Для этого вам понадобится еще один хост (так называемый «хост релея»), находящийся за пределами защищенной домашней сети, к которому вы можете подключиться через SSH из либого места независимо от того, где вы находитесь. Вы можете настроить хост релея на отдельном экземпляре виртуального частного сервера VPS, использующего общедоступный адрес IP. После этого все, что вам потребуется сделать, это настроить постоянный туннель SSH туннель от сервера в вашей домашней сети на хост общественного релея. Благодаря этому вы можете подключаться «в обратном направлении» к домашнему сервера с хоста релея (именно поэтому такой туннель называется «обратным» туннелем). Д тех пор, пока хост релея доступен для вас, вы можете подключиться к домашнему серверу из любого места, где бы вы не находились, причем независимо от того, используется ли в вашей домашней сети ограничивающий NAT или брандмауэр.
Настройка в Linux обратного туннелирования SSH
Давайте посмотрим, каким образом можно создавать и использовать обратный туннель SSH. Предположим следующее. Мы будем настраивать обратный туннель SSH от домашнего сервера homeserver к серверу релея relayserver, так что мы можем получать доступ через SSH к homeserver через relayserver с некоторого другого компьютера, который называется клиентским компьютером clientcomputer. Общедоступным адресом сервера релея relayserver является 1.1.1.1.
На сервере homeserver открываем соединение SSH к серверу релея relayserver следующим образом.
homeserver~$ ssh -fN -R 10022:localhost:22 relayserver_user@1.1.1.1
Здесь порт 10022 является портом с любым номером, который вы выберите. Просто убедитесь, что на сервере relayserver этот порт не используется другими программами.
Параметр "-R 10022:localhost:22" определяет ревесный туннель. Он перенаправляет трафик с порта 10022 сервера relayserver на порт 22 на сервере homeserver
Благодаря параметру "-fN" SSH уйдет в фоновый режим сразу, как только вы успешно пройдете проверку подлинности на сервере SSH. Этот параметр полезен в случае, если вы не хотите на удаленном сервере SSH выполнять какие-либо команды, а просто хотите, как в нашем случае, использовать перенаправление портов.
После запуска указанной выше команды вы вернетесь обратно к командной строке сервера homeserver.
Войдите на сервер relayserver и убедитесь, что 127.0.0.1:10022 привязан к sshd. Если это так, то это означает, что обратный туннель настроен правильно.
relayserver~$ sudo netstat -nap | grep 10022 tcp 0 0 127.0.0.1:10022 0.0.0.0:* LISTEN 8493/sshd
Теперь с любого другого компьютера (например, с клиента clientcomputer) войдите на сервер relayserver. Затем получите доступ к серверу homeserver следующим образом.
relayserver~$ ssh -p 10022 homeserver_user@localhost
Единственное, на что следует обратить внимание, это то, что логин/пароль, который вы набираете для localhost, должен быть для сервера homeserver, а не для серевера relayserver, поскольку вы через локальную конечную точку туннеля вошли на сервер homeserver. Так что не вводите логин/пароль для сервера relayserver. После успешного входа в систему, вы будете находиться на сервере homeserver.
Прямое подключение к серверу с NAT через обратный туннель SSH
Хотя описанный выше метод позволяет вам получить доступ к серверу homeserver, который находится за NAT, вам протребуется входить дважды: сначала - на сервер relayserver, а затем — на сервер homeserver. Это связано с тем, что конечная точка туннеля SSH на сервере relayserver привязана к адресу loopback (127.0.0.1).
Но на самом деле, есть способ получить доступ к серверу homeserver, который закрыт NAT, с помощью одного входа на сервер relayserver. Для этого вам нужно сделать, чтобы sshd, расположенный на сервере relayserver, мог перенаправлять порт не только с адреса loopback но и с внешнего хоста. Это достигается путем указания параметра GatewayPorts в sshd, работающего на сервере relayserver.
Откройте файл /etc/ssh/sshd_conf на сервере relayserver и добавьте к нему следующее.
relayserver~$ vi /etc/ssh/sshd_conf GatewayPorts clientspecified
Перезапустите sshd.
В системе на основе Debian:
relayserver~$ sudo /etc/init.d/ssh restart
В системе на основе Red Hat:
relayserver~$ sudo systemctl restart sshd
Теперь давайте инициализируем обратный туннель SSH из homeserver следующим образом.
homeserver~$ ssh -fN -R 1.1.1.1:10022:localhost:22 relayserver_user@1.1.1.1
Войдите на сервер relayserver и убедитесь с помощью команды netstat в том, что обратный туннель SSH успешно установлен.
relayserver~$ sudo netstat -nap | grep 10022 tcp 0 0 1.1.1.1:10022 0.0.0.0:* LISTEN 1538/sshd: dev
В отличие от предыдущего случая, конечной точкой туннеля теперь является 1.1.1.1:10022 (общедоступный адрес IP сервера relayserver), а не 127.0.0.1:10022. Это означает, что конечная точка туннеля доступна с внешнего хоста.
Теперь для того, чтобы получить доступ к серверу homeserver, защищенному NAT, введите на любом другом компьютере (например, на клиентском компьютере clientcomputer), следующую команду.
clientcomputer~$ ssh -p 10022 homeserver_user@1.1.1.1
Хотя в приведенной выше команде 1.1.1.1 является общедоступным адресом IP сервера relayserver, homeserver_user должен быть учетной записью на сервере homeserver. Это связано с тем, что реальный хост, на который вы входите, это homeserver, а не relayserver. Последний просто ретранслирует ваш трафик SSH трафик на сервер homeserver.
Настройка в Linux постоянного обратного туннеля SSH
Теперь, когда вы понимаете, как создать обратный туннель SSH, давайте сделаем туннель «постоянным», так что туннель поднимался и работал постоянно (независимо от временной повышенной загрузки сети, тайм-аута SSH, перезагрузки хоста релея, и т.д.). Поскольку, если туннель поднимается не всегда, то у вас не будет надежного подключения к вашему домашнему серверу.
Для создания постоянного туннеля, я собираюсь использовать инструмент, который называется autossh. Как следует из названия, эта программа позволяет автоматически перезапускать сессию SSH в случае, если она по какой-либо причине пропадает. Так что для того, чтобы сохранять активным обратный туннель SSH, можно воспользоваться этой программой.
В качестве первого шага, давайте установим возможность беспарольного входа через SSH с сервера homeserver на сервер relayserver. Таким образом, программа autossh сможет без вмешательства пользователя перезапускать пропавший обратный туннель SSH.
Затем на сервере homeserver, откуда начинается туннель, установите программу autossh.
На сервере homeserver запустите autossh со следующими аргументами с тем, чтобы создать постоянный туннель SSH, действующий в направлении сервера relayserver.
Параметр "-M 10900" указывает порт на сервере relayserver, для которого будет осуществляться мониторинг и который будет использоваться для обмена тестовыми данными при контроле сессии SSH. Этот порт не должен на сервере relayserver использоваться какой-либо другой программой.
Параметр "-fN" перенаправляется в команду ssh, что позволит туннелю SSH работать в фоновом режиме.
Параметр "-o XXXX" сообщает команде ssh следующее:
- Использовать ключ аутентификации, а не парольную аутентификацию.
- Автоматически принимать (неизвестные) ключи хоста SSH
- Каждые 60 секунд обмениваться сообщениями keep-alive.
- Отправлять до трех сообщений keep-alive без получения каких-либо ответов.
Остальные параметры обратного туннелирования SSH те же самые, что и в предыдущих примерах.
Если вы хотите, чтобы туннель SSH автоматически поднимался при загрузке системы, вы можете в /etc/rc.local добавить указанную выше команду autossh.
Заключение
В этой статье было рассказано о том, как можно использовать обратный туннель SSH для доступа к серверу Linux, который находится за брандмауэром или шлюзом NAT, защищающего сеть от внешнего мира. Было продемонстрировано, как это сделать для случая домашней сети с помощью общедоступного виртуального частного сервера VPS. Вы должны быть внимательны при использовании этого приема для корпоративных сетей. Такой туннель может рассматриваться как нарушение корпоративной политики, поскольку он позволяет обойти корпоративные брандмауэры и может открыть корпоративные сети для внешних атак. Существует большая вероятность, что этот подход может использоваться неправильно или с заведомо плохими целями. Так всегда помнить, что прежде всего вы сами ответственны за все настройки, которые вы осуществляете.