120 lines
5.9 KiB
Markdown
120 lines
5.9 KiB
Markdown
|
---
|
|||
|
|
title: "🚰 SSH туннели и проброс портов"
|
|||
|
|
date: 2024-08-30T23:30:24+03:00
|
|||
|
|
draft: false
|
|||
|
|
tags: [linux, tutorial, ssh, proxy]
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
> Оригинал: https://codex.so/ssh-tunnel
|
|||
|
|
|
|||
|
|
При администрировании серверов часто возникают следующие задачи:
|
|||
|
|
|
|||
|
|
1. Получить доступ к локальному порту на сервере с рабочей машины.
|
|||
|
|
2. Обеспечить доступ к локальному порту рабочей машины с сервера.
|
|||
|
|
|
|||
|
|
Обе эти задачи решаются с помощью туннелирования,
|
|||
|
|
но иногда требуется организовать такой туннель быстро и без создания сложной дополнительной инфраструктуры.
|
|||
|
|
Решить такую задачу можно с помощью SSH.
|
|||
|
|
|
|||
|
|
## Доступ к внутреннему порту сервера
|
|||
|
|
|
|||
|
|
Попробуем подключиться к порту, к которому нет доступа снаружи, но есть доступ с сервера
|
|||
|
|
(например, MongoDB, которая слушает порт `27017` на интерфейсе `localhost` сервера).
|
|||
|
|
Для этого используется параметр `-L`.
|
|||
|
|
|
|||
|
|
```sh
|
|||
|
|
ssh -L 9999:localhost:27017 root@server_ip
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
|
|||
|
|
|
|||
|
|
После аутентификации, у нас на рабочей машине появляется порт `9999`,
|
|||
|
|
который перенаправлен на порт `27017` локального интерфейса сервера.
|
|||
|
|
|
|||
|
|
Теперь можно подключиться к **MongoDB** напрямую, как будто она запущена у вас на компьютере.
|
|||
|
|
|
|||
|
|
```sh
|
|||
|
|
mongo localhost:9999 -u user -p password
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
Туннель прервётся, если вы закроете SSH соединение.
|
|||
|
|
Кстати, если оно вам не требуется, а нужен только туннель – можно добавить параметр `-N`.
|
|||
|
|
|
|||
|
|
```sh
|
|||
|
|
ssh -L 9999:localhost:27017 root@server_ip -N
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
Можно также открывать доступ не к локальному порту сервера,
|
|||
|
|
а к удаленному порту другой машины, которая доступна с сервера.
|
|||
|
|
|
|||
|
|
```sh
|
|||
|
|
ssh -L 9999:another_ip:80 root@server_ip -N
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
В данном примере, вы можете делать запросы на порт `9999`, связанный с `80` портом машины `another_ip`.
|
|||
|
|
|
|||
|
|
## Доступ с сервера на локальный порт
|
|||
|
|
|
|||
|
|
Теперь представим ситуацию, что нужно с сервера обратиться к какому-нибудь сервису,
|
|||
|
|
запущенному на локальном компьютере. Например, вам регулярно присылают **HTTP** запросы по `80` порту на сервер.
|
|||
|
|
Вы можете прокинуть локальный веб-сервер со своей рабочей машины
|
|||
|
|
(скажем с `3000` порта) на сервер так, что запросы будут идти напрямую к вам. За это отвечает параметр `-R`.
|
|||
|
|
|
|||
|
|
```sh
|
|||
|
|
ssh -R 80:localhost:3000 root@server_ip
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
|
|||
|
|
|
|||
|
|
После этой команды на сервере откроется `80` порт, запросы на который будут прокидываться вам на `3000`.
|
|||
|
|
|
|||
|
|
По умолчанию `80` порт откроется на всех интерфейсах.
|
|||
|
|
Если вы желаете выбрать конкретный (скажем 192.168.0.1), его можно указать следующим образом.
|
|||
|
|
|
|||
|
|
```sh
|
|||
|
|
ssh -R 192.168.0.1:80:localhost:3000 root@server_ip
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
## Цепочка туннелей через несколько узлов
|
|||
|
|
|
|||
|
|
Если нужно пробросить на свою машину локальный порт с **сервера №2**,
|
|||
|
|
доступ к которому по SSH есть только с **сервера №1**, можно построить цепочку из SSH туннелей.
|
|||
|
|
|
|||
|
|
```sh
|
|||
|
|
ssh -L 9999:localhost:27017 root@server2 # server1
|
|||
|
|
ssh -L 9999:localhost:9999 root@server1 # client
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
|
|||
|
|
|
|||
|
|
Можно воспользоваться однострочной командой.
|
|||
|
|
|
|||
|
|
```sh
|
|||
|
|
ssh -L 9999:localhost:9999 root@server1 ssh -L 9999:localhost:27017 -N root@server2
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
А в случае, если у вас есть SSH ключи для доступа к **серверу №2**,
|
|||
|
|
вы можете построить защищенный туннель так, что ваш трафик не будет виден на **сервере №1**.
|
|||
|
|
|
|||
|
|
```sh
|
|||
|
|
ssh -L 9998:server2:22 -N root@server1
|
|||
|
|
ssh -L 9999:localhost:27017 -N -p 9998 root@localhost
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
|
|||
|
|
|
|||
|
|
В данном примере вы пробрасываете себе на порт `9998` порт с **сервера №2**,
|
|||
|
|
обращаясь к нему через **сервер №1**.
|
|||
|
|
А затем пробрасываете порт `27017` с **сервера №2** на локальный `9999`.
|
|||
|
|
В данной конфигурации вам уже не нужен **сервер №1**, так как порт SSH уже у вас на локальном `9998`.
|
|||
|
|
|
|||
|
|
## SOCKS прокси
|
|||
|
|
|
|||
|
|
С помощью параметра `-D` можно создать на локальной машине сокет для прослушивания динамического порта.
|
|||
|
|
|
|||
|
|
```sh
|
|||
|
|
ssh -D localhost:8123 root@server_ip
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
Теперь достаточно добавить хост `localhost` и порт `8123` в браузер для использования в качестве прокси.
|