搜索

[24174] 2015-08-09_如何通过反向SSH隧道访问NAT后面的Linux服务器

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2015-08-09_如何通过反向SSH隧道访问NAT后面的Linux服务器 如 何 通 过 反 向   S S H   隧 道 访 问   N A T   后 面 的   L i n u x   服 务 器 原 创   i c t l y h   L i n u x 中 国   2 0 1 5 - 0 8 - 0 9 你 在 家 里 运 行 着 一 台   L i n u x   服 务 器 ， 它 放 在 一 个   N A T   路 由 器 或 者 限 制 性 防 火 墙 后 面 。 现 在 你 想 在 外 出 时 用   S S H   登 录 到 这 台 服 务 器 。 你 如 何 才 能 做 到 呢 ？ S S H   端 口 转 发 当 然 是 一 种 选 择 。 但 是 ， 如 果 你 需 要 处 理 多 级 嵌 套 的   N A T   环 境 ， 端 口 转 发 可 能 会 变 得 非 常 棘 手 。 另 外 ， 在 多 种   I S P   特 定 条 件 下 可 能 会 受 到 干 扰 ， 例 如 阻 塞 转 发 端 口 的 限 制 性   I S P   防 火 墙 、 或 者 在 用 户 间 共 享   I P v 4   地 址 的 运 营 商 级   N A T 。 什 么 是 反 向   S S H   隧 道 ？ S S H   端 口 转 发 的 一 种 替 代 方 案 是   反 向 反 向   S S H   隧 道 隧 道 。 反 向   S S H   隧 道 的 概 念 非 常 简 单 。 使 用 这 种 方 案 ， 在 你 的 受 限 的 家 庭 网 络 之 外 你 需 要 另 一 台 主 机 （ 所 谓 的 “ 中 继 主 机 ” ） ， 你 能 从 当 前 所 在 地 通 过   S S H   登 录 到 它 。 你 可 以 用 有 公 网 I P   地 址 的   V P S   实 例   配 置 一 个 中 继 主 机 。 然 后 要 做 的 就 是 从 你 的 家 庭 网 络 服 务 器 中 建 立 一 个 到 公 网 中 继 主 机 的 永 久   S S H   隧 道 。 有 了 这 个 隧 道 ， 你 就 可 以 从 中 继 主 机 中 连 接 “ 回 ” 家 庭 服 务 器 （ 这 就 是 为 什 么 称 之 为   “ 反 向 ”   隧 道 ） 。 不 管 你 在 哪 里 、 你 的 家 庭 网 络 中 的   N A T   或   防 火 墙 限 制 多 么 严 格 ， 只 要 你 可 以 访 问 中 继 主 机 ， 你 就 可 以 连 接 到 家 庭 服 务 器 。 在   L i n u x   上 设 置 反 向   S S H   隧 道 让 我 们 来 看 看 怎 样 创 建 和 使 用 反 向   S S H   隧 道 。 我 们 做 如 下 假 设 ： 我 们 会 设 置 一 个 从 家 庭 服 务 器 （ h o m e s e r v e r ） 到 中 继 服 务 器 （ r e l a y s e r v e r ） 的 反 向   S S H   隧 道 ， 然 后 我 们 可 以 通 过 中 继 服 务 器 从 客 户 端 计 算 机 （ c l i e n t c o m p u t e r ）   S S H 登 录 到 家 庭 服 务 器 。 本 例 中 的 中 继 服 务 器 中 继 服 务 器   的 公 网   I P   地 址 是   1 . 1 . 1 . 1 。 在 家 庭 服 务 器 上 ， 按 照 以 下 方 式 打 开 一 个 到 中 继 服 务 器 的   S S H   连 接 。 这 里 端 口   1 0 0 2 2   是 任 何 你 可 以 使 用 的 端 口 数 字 。 只 需 要 确 保 中 继 服 务 器 上 不 会 有 其 它 程 序 使 用 这 个 端 口 。 “ - R   1 0 0 2 2 : l o c a l h o s t : 2 2 ”   选 项 定 义 了 一 个 反 向 隧 道 。 它 转 发 中 继 服 务 器   1 0 0 2 2   端 口 的 流 量 到 家 庭 服 务 器 的   2 2   号 端 口 。 用   “ - f N ”   选 项 ， 当 你 成 功 通 过   S S H   服 务 器 验 证 时   S S H   会 进 入 后 台 运 行 。 当 你 不 想 在 远 程   S S H   服 务 器 执 行 任 何 命 令 ， 就 像 我 们 的 例 子 中 只 想 转 发 端 口 的 时 候 非 常 有 用 。 运 行 上 面 的 命 令 之 后 ， 你 就 会 回 到 家 庭 主 机 的 命 令 行 提 示 框 中 。 登 录 到 中 继 服 务 器 ， 确 认 其   1 2 7 . 0 . 0 . 1 : 1 0 0 2 2   绑 定 到 了   s s h d 。 如 果 是 的 话 就 表 示 已 经 正 确 设 置 了 反 向 隧 道 。 现 在 就 可 以 从 任 何 其 它 计 算 机 （ 客 户 端 计 算 机 ） 登 录 到 中 继 服 务 器 ， 然 后 按 照 下 面 的 方 法 访 问 家 庭 服 务 器 。 需 要 注 意 的 一 点 是 你 在 上 面 为 l o c a l h o s t 输 入 的   S S H   登 录 / 密 码 应 该 是 家 庭 服 务 器 的 ， 而 不 是 中 继 服 务 器 的 ， 因 为 你 是 通 过 隧 道 的 本 地 端 点 登 录 到 家 庭 服 务 器 ， 因 此 不 要 错 误 输 入 中 继 服 务 器 的 登 录 / 密 码 。 成 功 登 录 后 ， 你 就 在 家 庭 服 务 器 上 了 。 通 过 反 向   S S H   隧 道 直 接 连 接 到 网 络 地 址 变 换 后 的 服 务 器 上 面 的 方 法 允 许 你 访 问   N A T   后 面 的   家 庭 服 务 器 家 庭 服 务 器 ， 但 你 需 要 登 录 两 次 ： 首 先 登 录 到   中 继 服 务 器 中 继 服 务 器 ， 然 后 再 登 录 到 家 庭 服 务 器 家 庭 服 务 器 。 这 是 因 为 中 继 服 务 器 上   S S H   隧 道 的 端 点 绑 定 到 了 回 环 地 址 （ 1 2 7 . 0 . 0 . 1 ） 。 事 实 上 ， 有 一 种 方 法 可 以 只 需 要 登 录 到 中 继 服 务 器 就 能 直 接 访 问 N A T 之 后 的 家 庭 服 务 器 。 要 做 到 这 点 ， 你 需 要 让 中 继 服 务 器 上 的   s s h d   不 仅 转 发 回 环 地 址 上 的 端 口 ， 还 要 转 发 外 部 主 机 的 端 口 。 这 通 过 指 定 中 继 服 务 器 上 运 行 的   s s h d 的   G a t e w a y P o r t s   实 现 。 1 .   h o m e s e r v e r ~ $   s s h   - f N   - R   1 0 0 2 2 : l o c a l h o s t : 2 2   r e l a y s e r v e r _ u s e r @ 1 . 1 . 1 . 1 1 .   r e l a y s e r v e r ~ $   s u d o   n e t s t a t   - n a p   |   g r e p   1 0 0 2 2 1 .   t c p             0         0   1 2 7 . 0 . 0 . 1 : 1 0 0 2 2                     0 . 0 . 0 . 0 : *                               L I S T E N             8 4 9 3 / s s h d                       1 .   r e l a y s e r v e r ~ $   s s h   - p   1 0 0 2 2   h o m e s e r v e r _ u s e r @ l o c a l h o s t
打 开 中 继 服 务 器 中 继 服 务 器 的   / e t c / s s h / s s h d _ c o n f   并 添 加 下 面 的 行 。 重 启   s s h d 。 基 于   D e b i a n   的 系 统 ： 基 于 红 帽 的 系 统 ： 现 在 在 家 庭 服 务 器 中 按 照 下 面 方 式 初 始 化 一 个 反 向   S S H   隧 道 。 登 录 到 中 继 服 务 器 然 后 用   n e t s t a t   命 令 确 认 成 功 建 立 的 一 个 反 向   S S H   隧 道 。 不 像 之 前 的 情 况 ， 现 在 隧 道 的 端 点 是   1 . 1 . 1 . 1 : 1 0 0 2 2 （ 中 继 服 务 器 的 公 网   I P   地 址 ） ， 而 不 是   1 2 7 . 0 . 0 . 1 : 1 0 0 2 2 。 这 就 意 味 着 从 外 部 主 机 可 以 访 问 隧 道 的 另 一 端 。 现 在 在 任 何 其 它 计 算 机 （ 客 户 端 计 算 机 ） ， 输 入 以 下 命 令 访 问 网 络 地 址 变 换 之 后 的 家 庭 服 务 器 。 在 上 面 的 命 令 中 ， 1 . 1 . 1 . 1   是 中 继 服 务 器 的 公 共   I P   地 址 ， h o m e s e r v e r _ u s e r 必 须 是 家 庭 服 务 器 上 的 用 户 账 户 。 这 是 因 为 你 真 正 登 录 到 的 主 机 是 家 庭 服 务 器 ， 而 不 是 中 继 服 务 器 。 后 者 只 是 中 继 你 的   S S H   流 量 到 家 庭 服 务 器 。 在   L i n u x   上 设 置 一 个 永 久 反 向   S S H   隧 道 现 在 你 已 经 明 白 了 怎 样 创 建 一 个 反 向   S S H   隧 道 ， 然 后 把 隧 道 设 置 为   “ 永 久 ” ， 这 样 隧 道 启 动 后 就 会 一 直 运 行 （ 不 管 临 时 的 网 络 拥 塞 、 S S H   超 时 、 中 继 主 机 重 启 ， 等 等 ） 。 毕 竟 ， 如 果 隧 道 不 是 一 直 有 效 ， 你 就 不 能 可 靠 的 登 录 到 你 的 家 庭 服 务 器 。 对 于 永 久 隧 道 ， 我 打 算 使 用 一 个 叫   a u t o s s h   的 工 具 。 正 如 名 字 暗 示 的 ， 这 个 程 序 可 以 让 你 的   S S H   会 话 无 论 因 为 什 么 原 因 中 断 都 会 自 动 重 连 。 因 此 对 于 保 持 一 个 反 向   S S H   隧 道 非 常 有 用 。 第 一 步 ， 我 们 要 设 置 从 家 庭 服 务 器 到 中 继 服 务 器 的 无 密 码   S S H   登 录 。 这 样 的 话 ， a u t o s s h   可 以 不 需 要 用 户 干 预 就 能 重 启 一 个 损 坏 的 反 向   S S H   隧 道 。 下 一 步 ， 在 建 立 隧 道 的 家 庭 服 务 器 上 安 装   a u t o s s h 。 在 家 庭 服 务 器 上 ， 用 下 面 的 参 数 运 行   a u t o s s h   来 创 建 一 个 连 接 到 中 继 服 务 器 的 永 久   S S H   隧 道 。 “ - M   1 0 9 0 0 ”   选 项 指 定 中 继 服 务 器 上 的 监 视 端 口 ， 用 于 交 换 监 视   S S H   会 话 的 测 试 数 据 。 中 继 服 务 器 上 的 其 它 程 序 不 能 使 用 这 个 端 口 。 “ - f N ”   选 项 传 递 给   s s h   命 令 ， 让   S S H   隧 道 在 后 台 运 行 。 “ - o   X X X X ”   选 项 让   s s h ： 使 用 密 钥 验 证 ， 而 不 是 密 码 验 证 。 自 动 接 受 （ 未 知 ） S S H   主 机 密 钥 。 每   6 0   秒 交 换   k e e p - a l i v e   消 息 。 没 有 收 到 任 何 响 应 时 最 多 发 送   3   条   k e e p - a l i v e   消 息 。 其 余   S S H   隧 道 相 关 的 选 项 和 之 前 介 绍 的 一 样 。 如 果 你 想 系 统 启 动 时 自 动 运 行   S S H   隧 道 ， 你 可 以 将 上 面 的   a u t o s s h   命 令 添 加 到   / e t c / r c . l o c a l 。 总 结 在 这 篇 博 文 中 ， 我 介 绍 了 你 如 何 能 从 外 部 通 过 反 向   S S H   隧 道 访 问 限 制 性 防 火 墙 或   N A T   网 关 之 后 的   L i n u x   服 务 器 。 这 里 我 介 绍 了 家 庭 网 络 中 的 一 个 使 用 事 例 ， 但 在 企 业 网 络 中 使 用 时 你 尤 其 要 小 心 。 这 样 的 一 个 隧 道 可 能 被 视 为 违 反 公 司 政 策 ， 因 为 它 绕 过 了 企 业 的 防 火 墙 并 把 企 业 网 络 暴 露 给 外 部 攻 击 。 这 很 可 能 被 误 用 或 者 滥 用 。 因 此 在 使 用 之 前 一 定 要 记 住 它 的 作 用 。 1 .   r e l a y s e r v e r ~ $   v i   / e t c / s s h / s s h d _ c o n f 1 .   G a t e w a y P o r t s   c l i e n t s p e c i f i e d 1 .   r e l a y s e r v e r ~ $   s u d o   / e t c / i n i t . d / s s h   r e s t a r t 1 .   r e l a y s e r v e r ~ $   s u d o   s y s t e m c t l   r e s t a r t   s s h d 1 .   h o m e s e r v e r ~ $   s s h   - f N   - R   1 . 1 . 1 . 1 : 1 0 0 2 2 : l o c a l h o s t : 2 2   r e l a y s e r v e r _ u s e r @ 1 . 1 . 1 . 1 1 .   r e l a y s e r v e r ~ $   s u d o   n e t s t a t   - n a p   |   g r e p   1 0 0 2 2 1 .   t c p             0             0   1 . 1 . 1 . 1 : 1 0 0 2 2           0 . 0 . 0 . 0 : *                       L I S T E N             1 5 3 8 / s s h d :   d e v     1 .   c l i e n t c o m p u t e r ~ $   s s h   - p   1 0 0 2 2   h o m e s e r v e r _ u s e r @ 1 . 1 . 1 . 1 1 .   h o m e s e r v e r ~ $   a u t o s s h   - M   1 0 9 0 0   - f N   - o   " P u b k e y A u t h e n t i c a t i o n = y e s "   - o   " S t r i c t H o s t K e y C h e c k i n g = f a l s e "   - o   " P a s s w o r d A u t h e n t i c a t i o n = n o "   - o   " S e r v e r A l i v e I n t e r v a l   6 0 "   - o   " S e r v e r A l i v e C o u n t M a x   3 "
v i a :   h t t p : / / x m o d u l o . c o m / a c c e s s - l i n u x - s e r v e r - b e h i n d - n a t - r e v e r s e - s s h - t u n n e l . h t m l 作 者 ： D a n   N a n n i   译 者 ： i c t l y h   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理