内网调试的不便催生了这篇文章
场景
设备处于内网环境,由一台接入Internet的双网卡PC(大多数情况下是笔记本)进行操作
- 网卡1:设备
- 网卡2:Internet
一般地,我们会使用TeamView,RDP等远程工具,在客户PC上搭建简易脚手架进行调试
新设想
客户双网卡PC做跳板,设备厂商直接在本地开发机调试最末端内网设备。
隧道协议不限,SSH Tunnel是个不错的选择,尤其是那些本身支持SSH协议的设备
我们可以把需要调试端口从远端层层转发(>2)至本地:
SSH Tunnel 扫盲:
- 实战 SSH 端口转发 IBM Developer
- Dropbear/OpenSSH
- putty/plink系列工具
- man page – ssh
实现
Windows作为最常见的个人操作系统,我们可以用plink和putty,新手可以用putty先试试水,个人建议用plink
- 体积小
- 不启动Shell会话,安全
- 基于命令行,可封装成一键脚本
-
将设备22映射至本地7777(本地转发)
plink.exe -L 7777:DEVICE_IP:22 root@DEVICE_IP -N
-
将本地7777转发至远端Linux服务器17777(远程转发)
plink.exe -R 7777:127.0.0.1:7777 USER@SERVER_IP -P SSH_PORT -N
-
最后,登录服务器,发起反向连接,即可通联内网设备:
ssh -p 7777 DEVICE_USER@127.0.0.1
-
补充:让其它主机通过SERVER_IP:PORT的方式通联内网设备:
重点在服务器端:启用GatewayPorts(允许SSH网关转发)-
Dropbear(OpenWrt)
uci set dropbear.dropbear.GatewayPorts='on' uci commit
-
Dropbear(Ubuntu/CentOS, etc)
Man page of dropbear
#any additional arguments for Dropbear
-a Allow remote hosts to connect to forward ports.添加额外参数(Dropbear根据参数启动,不另设配置文件)
vim /etc/default/dropbear ... DROPBEAR_EXTRA_ARGS=-a ...
-
OpenSSH(Ubuntu/CentOS, etc)
vim /etc/ssh/sshd_config ... GatewayPorts yes ...
-
重启ssh进程并重新建立远程转发隧道
Linux服务器
# OpenWrt /etc/init.d/dropbear restart # Ubuntu sudo service dropbear restart
充当中继器的双网卡PC
# Windows plink.exe -R 0.0.0.0:7777:127.0.0.1:7777 USER@SERVER_IP -P SSH_PORT -N # Linux ssh -fNR 0.0.0.0:7777:127.0.0.1:7777
-
-
状态检查
Windows
D:\> netstat -aon|findstr "7777" TCP 0.0.0.0:7777 0.0.0.0:0 LISTENING 1100 TCP [::]:7777 [::]:0 LISTENING 1100
Linux
xxx@Mission:~$ sudo netstat -nlp | grep tcp 0 0 127.0.0.1:7777 0.0.0.0:* LISTEN 11992/dropbear # If you allow remote hosts to connect to forward ports tcp 0 0 0.0.0.0:7777 0.0.0.0:* LISTEN 11992/dropbear
安全性
- 最低权限账户
- 账户不可登录 /usr/sbin/nologin
- 无账户目录 /nonexistent
- 服务端完全禁止密码认证并开启免密登录
sudo useradd -s /sbin/nologin -M -g nogroup username
问:nologin用户无法登录
tail -f cat /var/log/auth.log
May 23 23:21:54 RAS dropbear[20395]: User 'xxx' has invalid shell, rejected
/sbin/nologin in /etc/shells ?
echo '/usr/sbin/nologin' >> /etc/shells
高可用
FIXME
沿途
O’Reilly Media,Inc.
desproxy Project
鸣谢
SSH Tunnel 高可用
SSH 权威指南 第一版
SSH, The Secure Shell: The Definitive Guide, 2nd Edition
ProcessOn - 免费在线作图,实时协作
小米路由(OpenWrt)折腾记(一)-- ssh连接公司内网
Create a SOCKS proxy on a Linux server with SSH to bypass content filters
已安装SSH服务端并启用 ↩︎