防火墙后面的分布式系统的反向 ssh

Question

我们有多台机器位于防火墙后面的不同区域，它们没有静态 IP，无法从外部访问。

我们想访问这些机器，但不知道最好的选择是什么。我们考虑配置由这些机器发起的到中央堡垒的反向 ssh。

但是如果有人通过 ssh 隧道访问了其中一台机器，会发生什么情况？他可以通过堡垒访问其他机器吗？有没有最佳实践来解决这个问题？

谢谢。

Answer 1

如果您使用ssh -R port1:host:port2 central设置隧道，则隧道仅允许从中央节点发起的连接。假设用户无权访问设置隧道的 ssh 会话，并且您未在中央节点的 sshd_config 中启用 GatewayPorts，或者中央节点上的防火墙不允许传入连接，那么您就没问题。

您是否考虑过让所有这些机器通过 VPN 连接到集中位置？对我来说，这似乎更简单、更稳定，而且您可以配置防火墙以允许/禁止流量。