极品尤物一区二区三区,日韩欧美亚洲

命令行工具安全外殼 (SSH) 在客戶端和服務器之間提供安全的通信通道。工程師和操作員經(jīng)常使用 SSH 遠程管理他們的設備和主機。例如，通常使用 SSH 登錄 Linux 服務器以應用更新、安裝新軟件包或執(zhí)行其他管理操作。SSH 的一個鮮為人知的功能是能夠通過同一通信通道轉(zhuǎn)發(fā)其他但不同的網(wǎng)絡流量。例如，您可以使用 SSH 隧道加密 Web 請求并將其轉(zhuǎn)發(fā)到遠程主機，而無需在網(wǎng)絡上公開該主機的 Web 服務。您還可以使用 SSH 隧道創(chuàng)建跳轉(zhuǎn)框和網(wǎng)關，允許遠程連接到您的網(wǎng)絡，而無需暴露額外的網(wǎng)絡端點或端口。

使用 SSH 端口轉(zhuǎn)發(fā)安全地連接到遠程系統(tǒng)

SSH 本地端口轉(zhuǎn)發(fā)功能允許您在客戶端和服務器之間創(chuàng)建隧道，加密該客戶端和服務器之間指定端口上的所有通信。防火墻和其他網(wǎng)絡工具通常無法看到這些隧道內(nèi)部——它們只能看到客戶端和服務器（或網(wǎng)關）之間加密的 SSH（TCP 端口 22）流量。作為安全操作員，您將希望以符合您的安全策略的方式檢測和管理 SSH 的使用。例如，如果某些用戶的規(guī)則阻止或過濾 HTTP 和 HTTPS 但不阻止 SSH，則某些用戶可能會使用 SSH 端口轉(zhuǎn)發(fā)來繞過防火墻。

配置 SSH 端口轉(zhuǎn)發(fā)

通過 SSH 的隧道協(xié)議非常快速且易于設置和使用。可以集中管理像 OpenSSH 這樣的 SSH 實現(xiàn)，以提供身份驗證和加密功能。例如，您的組織可能會在 Internet 上安裝強化的 SSH 服務器，該服務器僅偵聽運行 SSH 的單個端口。用戶連接到此端口，使用證書、密碼或其他批準的身份驗證方法進行身份驗證。然后他們可以使用 SSH 隧道連接到該服務器上的資源，或者被定向到他們在專用網(wǎng)絡上的目的地。但是，盡管 SSH 隧道很有用，但它確實有局限性，而且它幾乎無法提供專用虛擬專用網(wǎng)絡 (VPN) 設備的功能數(shù)量。SSH 隧道在特定情況下很有用，例如專用 VPN 解決方案可能有些矯枉過正的情況。例如，

您可以為本地或遠程端口轉(zhuǎn)發(fā)配置 SSH 隧道。本地端口轉(zhuǎn)發(fā)允許您與遠程服務器建立連接，然后將指定的網(wǎng)絡流量從您的客戶端轉(zhuǎn)發(fā)到該服務器或其他服務器。

配置本地端口轉(zhuǎn)發(fā)

圖 1顯示了本地端口轉(zhuǎn)發(fā)的一個簡單示例。在此示例中，客戶端連接到防火墻，防火墻將 SSH 連接轉(zhuǎn)發(fā)到 SSH 網(wǎng)關，SSH 網(wǎng)關通過 SSH 隧道代理與其他內(nèi)部服務器和設備的通信。您必須將防火墻配置為將 SSH 網(wǎng)絡流量轉(zhuǎn)發(fā)到運行 SSH 服務器軟件（也稱為 SSH 守護程序）的設備。在許多情況下，不需要其他防火墻規(guī)則，也不需要額外的端口轉(zhuǎn)發(fā)。通常，OpenSSH 服務器軟件也不需要任何特殊配置。

圖 1：SSH 本地端口轉(zhuǎn)發(fā)的簡單配置。

要連接到遠程服務器，命令如下所示：

ssh -L 8080:remoteserver:80 username@FirewallExternalInterfaceIP

當您在連接互聯(lián)網(wǎng)的客戶端上運行此命令時，它將在 SSH（默認 TCP 端口 22）上連接到防火墻的外部 IP 地址（在上面的選項中記為 FirewallExternalInterfaceIP），它將 SSH 流量轉(zhuǎn)發(fā)到 SSH網(wǎng)關。SSH 網(wǎng)關對用戶（在我們的示例中為用戶名）進行身份驗證，并在客戶端和 SSH 網(wǎng)關之間建立安全的加密通道。

在幕后。SSH 客戶端現(xiàn)在靜靜地監(jiān)聽端口 8080 上的新連接。要連接到遠程服務器，客戶端打開他們的 Web 瀏覽器并連接到 https://localhost:8080。這指示瀏覽器連接到端口 8080 上的客戶端計算機，這是 SSH 客戶端應用程序偵聽新連接的端點。SSH 客戶端軟件攔截此調(diào)用并將其沿著加密隧道發(fā)送到 SSH 網(wǎng)關。SSH 網(wǎng)關解密通信并將其轉(zhuǎn)發(fā)到 TCP 端口 80 上的遠程服務器（根據(jù)選項 remoteserver:80）。遠程服務器認為它正在接收來自 SSH 網(wǎng)關的請求并響應它。網(wǎng)關加密此響應并將其發(fā)送回封裝在 SSH 協(xié)議 (TCP 22) 中的客戶端。

本地端口轉(zhuǎn)發(fā)不僅限于網(wǎng)絡請求和瀏覽器。作為另一個示例，這里是通過遠程桌面協(xié)議（RDP、TCP 3389）遠程連接到 Windows 服務器的命令。

ssh -L 1234:remoteserver:3389 username@FirewallExternalInterfaceIP

要建立連接，請啟動您的 RDP 客戶端并建立一個到 localhost:1234 的新 RDP 連接。ssh 本地端口轉(zhuǎn)發(fā)將激活，并將導致與指定為 remoteserver 的服務器建立新的 RDP 連接。

請注意，在第二個示例中，客戶端只需運行單獨的 ssh 命令即可連接到不同應用程序上的不同服務器，并且不需要額外的防火墻或 SSH 網(wǎng)關服務器配置。

配置遠程端口轉(zhuǎn)發(fā)

遠程端口轉(zhuǎn)發(fā)類似但相反。使用遠程端口轉(zhuǎn)發(fā)，您的 ssh 客戶端連接到遠程服務器，然后其他人到該遠程服務器的連接將通過 SSH 隧道轉(zhuǎn)發(fā)回您的客戶端。您可以使用遠程端口轉(zhuǎn)發(fā)使您筆記本電腦上的網(wǎng)站對互聯(lián)網(wǎng)上的其他人可見，而無需重新配置網(wǎng)絡。