从一个网络到另一个网络的“隧道”

Question 1

编辑：此答案的大部分内容可帮助您ssh无缝地将盒子连接到内部网络。请参阅下面标有“与其他网络资源协作“以阅读更多相关内容。

您还可以使用 SSH 优雅地完成此操作：

步骤1：设置/选择跳转框

许多企业网络都有通常称为“堡垒主机”或跳转箱的设备。这台机器通常会禁用许多网络服务，除了 ssh（并且通常位于非标准端口上）。如果您的“服务器”网络上没有这样的机器，请找到一个可以通过 ssh 从内部网络访问的机器进行测试。

第2步：编辑你的 ssh 配置文件

找到您的 ssh 配置文件（通常在中~/.ssh/config）并启动您最喜欢的文本编辑器。假设您的跳转箱位于，jump.foo.com而您要访问的主机之一位于server.foo.com。包括以下内容：

Host server.foo.com
  User <username>
  ProxyCommand /usr/bin/nc -x localhost:1080 %h %p

Host jump.foo.com
  User <username>
  DynamicForward localhost:1080

替换<username>为您的用户名。您可能还需要编辑 (netcat) 的路径nc：请注意，这是您本地主机上的 netcat 路径。如果配置不是 100% 合理，我将对其进行分解：

配置jump.foo.com包含一个指令，用于启动一个监听指定端口（在我的示例中为端口 1080）的 SOCKS 代理。这意味着当您通过 ssh 连接到时jump.foo.com，您还会自动启动一个 SOCKS 代理...敬请期待。

配置server.foo.com说：当我 ssh 到时server.foo.com，执行指定的 ProxyCommand：

/usr/bin/nc -x localhost:1080 %h %p

其中选项允许您指定代理地址（在本例中，是我们刚刚打开的端口 1080 上-x的连接）、 = 主机和= 端口。localhost%h%p

步骤3：SSH

ssh 到jump.foo.com（我使用tmux， A屏幕替代方案，并始终打开一个窗口并连接到我的jump.foo.com）。现在，在单独的窗口/终端中，尝试直接 ssh 到server.foo.com。我应该注意到server.foo.com可以是内部主机名或者和内部 IP 地址（在您的服务器网络上）。

server.foo.com假设您所有事情都正确，那么您应该可以毫无问题地被传递下去。

有很多方法可以使这个过程更加无缝，使用更强大的 ssh 配置和 bash 别名。以下是我第一次设置时用作参考的一些文章，它们应该可以为您指明正确的方向：

http://blog.gidley.co.uk/2009/03/tunnelling-ssh-over-socks-proxy.html http://blog.electricjellyfish.net/2006/03/dynamicforward-where-have-you-been-all.html http://bent.latency.net/bent/git/goto-san-connect-1.85/src/connect.html

与其他网络资源协作

windows.foo.com假设你需要远程桌面进入“服务器”网络上的主机。在一个窗口中，

ssh -L 3390:windows.foo.com:3389 jump.foo.com

这会将端口 3390 上的所有流量转发localhost到上的端口 3389（标准远程桌面端口）windows.foo.com。要真正远程登录windows.foo.com，请将您的远程桌面应用程序指向，localhost:3390然后您就应该能够透明地连接到windows.foo.com。

man ssh或谷歌“ssh 端口转发”获取更多信息。

请记住，你随时可以

telnet <server> <port>

确保你能<server>和port

telnet localhost 3390

foo.com在网络中添加新主机

你会不是您必须在跳转盒上为每个服务器配置一个条目。只需

ssh -o "ProxyCommand /usr/bin/nc -x localhost:1080 %h %p" new.server.foo.com

是的，您应该能够通过主机名或 IP 访问内部网络上的主机。

就像我们在 ssh 配置文件中定义的那样，您可以使用选项将 ProxyCommand 参数传递给 ssh -o。同样，这应该会将您的 ssh 流量发送到new.server.foo.com端口 1080 上的同一 SOCKS 代理。

对于每个foo.com域，您只需在 ssh 配置文件中添加一个通配符规则：

Host *.foo.com
      User <username>
      ProxyCommand /usr/bin/nc -x localhost:1080 %h %p

如果您想通过 ssh 连接到配置文件中没有条目的主机，您也可以使用 bash 别名：

alias ssh-socks='ssh -o "ProxyCommand /usr/bin/nc -x localhost:1080 %h %p"'

ssh-socks newer.server.foo.com

我不确定 DNS 请求是否由您发出localhost，或者是否来自跳转盒。我localhost在 ssh 连接到我的“服务器”网络上的几个主机时尝试了 tcpdump

tcpdump port 53

并且实际上没有看到任何流量（/etc/hosts 中没有条目...我必须发出 DNS 请求才能访问主机）。这可能意味着 DNS 请求是从跳转箱发出的，但我不能 100% 确定。

Answer