利用ssh反向代理实现从外网连接内网服务器

2018 - 06 - 27

Posted by kwongtai

1. 描述一下目前的机器状况，梳理梳理：

目的: 期望通过C访问在内网的A

2. 解决方法：

1. 在A上做到B的反向代理
2. 在B上做正向的代理实现本地端口转发

2.1 实现前的准备

每台都要安装ssh的客户端。

2.2 SSH

默认端口: 22

参数:

ssh -fCNL 正向代理  
ssh -fCNR 反向代理  

-f 后台执行ssh指令  
-C 允许压缩数据  
-N 不执行远程指令  
-R 将远程主机(服务器)的某个端口转发到本地端指定机器的指定端口  
-L 将本地机(客户机)的某个端口转发到远端指定机器的指定端口  
-p 指定远程主机的端口  

3. 首先在A上面操作：

建立A到B的反向代理，具体指令为

ssh -fCNR [B.IP或省略]:[B反向端口]:[A.IP]:[A.SSH端口] [B用户名@B.IP]  

这里我使用B机器的7000端口，以及A机器的22端口，即

ssh -fCNR 7000:localhost:22 root@222.222.222.222  

检验是否已经启动了可以使用ps aux | grep ssh指令来查看：

4. 接着在B上面操作:

建立B的正向代理，用来做转发，具体指令为

ssh -fCNL [C.IP或省略]:[B转发端口]:[B.IP]:[B反向端口] [B用户名@B.IP]  

即

ssh -fCNL *:6000:localhost:7000 localhost  

在此6000端口为本地转发端口，负责和外网进行通信，并将数据转发给7000这个端口，实现了可以从其他机器访问的功能。同时，*号表示可以接受任何IP的访问

检验是否已经启动了可以使用ps aux | grep ssh指令来查看

5. 展现奇迹的时候

至此, 已配置完毕, 从C开始测试

ssh -p [B转发端口] [A用户名@B.IP]  

即

ssh -p 6000 worker@222.222.222.222 

6. 这种反向代理的方式是不稳定的

不幸的是这种ssh反向链接会因为超时而关闭，如果关闭了那从外网连通内网的通道就无法维持了，为此我们需要另外的方法来提供稳定的ssh反向代理隧道。

6.1 ssh每次重连都需要键入密码，故在此首先设置免密码登陆到内网

在内网的机器A上面执行：

ssh-copy-id 外网用户名@外网IP 

按照之前我设定的端口，这个指令就是如下

ssh-copy-id root@222.222.222.222  

那以后这台内网的A机器ssh登陆我外网的B机器就可以免密码登陆啦~
检验是否已经可以使用免密码登陆可以使用如下指令来检验：

ssh root@222.222.222.222  

6.2 用autossh建立稳定隧道

centos7上没有默认安装autossh的，所以使用一下命令安装

yum install autossh  

来看看具体的autossh的指令为

autossh -M 7281 -fCNR 7000:localhost:22 root@222.222.222.222 

autossh的参数与ssh的参数是一致的，但是不同的是，在隧道断开的时候，autossh会自动重新连接而ssh不会。另外不同的是我们需要指出的-M参数，这个参数指定一个端口，这个端口是外网的B机器用来接收内网A机器的信息，如果隧道不正常而返回给A机器让他实现重新连接。

7. 最后配置在Linux上配置开机自动启动autossh，免去了重启Linux后要自己启动的autossh的麻烦

输入:

vi /etc/rc.d/rc.local

添加内容:

autossh -M 7281 -fCNR 7000:localhost:22 root@222.222.222.222

因为centos7之后，原来直接修改/etc/rc.d/rc.local启动脚本自动生效的功能因为修改了需要重新赋予可执行权限

再输入 chmod +x /etc/rc.d/rc.local