☰

haproxy 后面的 SSHD 真实 IP

tag-icon • tag-icon ssh haproxy stunnel
haproxy 后面的 SSHD 真实 IP

我正在尝试使用 haproxy 建立 ssh over https 连接。

我目前正在寻找一种让 SSHD 从 haproxy 获取源 ip 的方法，类似于读取X-Forwarded-For或X-Real-IP标头。

客户端配置；

~$ cat ~/.stunnel/stunnel.conf
pid=
client=yes
foreground=yes
[ssh]
accept=4444
connect=ssh.example.com:443

客户端输出；

~$ ssh -v -p 4444 user@localhost
OpenSSH_6.6.1, OpenSSL 1.0.1i 6 Aug 2014
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Connecting to localhost [::1] port 4444.
debug1: match: OpenSSH_6.6.1p1 Ubuntu-2ubuntu2 pat OpenSSH_6.6.1* compat 0x04000000
.....
debug1: SSH2_MSG_KEXINIT sent
Bad packet length 1349676916.
Disconnecting: Packet corrupt

服务器配置；

~$ cat /etc/haproxy/haproxy.cfg
frontend public
        mode tcp

        bind :80
        redirect scheme https code 301 if !{ ssl_fc }

        bind :443 ssl crt example.pem no-tls-tickets

        tcp-request inspect-delay 5s
        tcp-request content accept if HTTP

        # ....
        use_backend ssh if { ssl_fc_sni ssh.example.com }


backend ssh
        mode tcp
        server ssh 127.0.0.1:22 send-proxy
        timeout server 2h

服务器输出；

~$ tail -f /var/log/haproxy.log
Aug 15 23:31:57 localhost haproxy[50379]: 115.000.000.000:51924 [15/Aug/2014:23:31:57.907] public~ ssh/ssh 2/0/8 60 SD 0/0/0/0/0 0/0

~$ tail -f /var/log/auth.log
Aug 15 23:31:57 localhost sshd[50757]: debug1: inetd sockets after dupping: 3, 3
Aug 15 23:31:57 localhost sshd[50757]: Connection from 127.0.0.1 port 36333 on 127.0.0.1 port 22
Aug 15 23:31:57 localhost sshd[50757]: Bad protocol version identification 'PROXY TCP4 115.000.000.000 192.168.000.000 51924 443' from 127.0.0.1 port 36333

haproxy.cfg 中的行send-proxy导致Bad protocol version identification

我可以在删除时连接send-proxy，但是此连接127.0.0.1会不断附加到/etc/hosts.deny

Aug 15 23:55:22 localhost sshd[55997]: debug1: rexec start in 5 out 5 newsock 5 pipe 7 sock 8
Aug 15 23:55:22 localhost sshd[55997]: debug1: inetd sockets after dupping: 3, 3
Aug 15 23:55:22 localhost sshd[55997]: debug1: Connection refused by tcp wrapper
Aug 15 23:55:22 localhost sshd[55997]: refused connect from localhost (127.0.0.1)

我希望 ssh 知道源 ip。

答案1

在mode tcp，你需要代理服务器将原始客户端IP传递给后面的服务器haproxy。

链接的文章有很多技术背景，其中大部分不再是问题 - 最新版本的 Linux 很haproxy可能会支持开箱即用的 tproxy。

TL;DR 在后端部分，尝试

source 0.0.0.0 usesrc clientip

答案2

这是可能的代理服务器守护进程（在 SSH 服务器上运行）终止haproxy 的 PROXY 协议。

目前有两种实现代理服务器：

更多信息请阅读以下博客文章：

答案3

恐怕这是不可能的。与 HTTP 不同，SSH 协议无法让代理告诉您原始源 IP 是什么。

相关内容