内网调试的不便催生了这篇文章

场景

设备处于内网环境，由一台接入Internet的双网卡PC（大多数情况下是笔记本）进行操作

• 网卡1：设备
• 网卡2：Internet

一般地，我们会使用TeamView，RDP等远程工具，在客户PC上搭建简易脚手架进行调试

新设想

客户双网卡PC做跳板，设备厂商直接在本地开发机调试最末端内网设备。

隧道协议不限，SSH Tunnel是个不错的选择，尤其是那些本身支持SSH协议的设备
我们可以把需要调试端口从远端层层转发（>2）至本地：

SSH Tunnel 扫盲：

• 实战 SSH 端口转发 IBM Developer
• Dropbear/OpenSSH
• putty/plink系列工具
• man page – ssh

实现

Windows作为最常见的个人操作系统，我们可以用plink和putty，新手可以用putty先试试水，个人建议用plink

• 体积小
• 不启动Shell会话，安全
• 基于命令行，可封装成一键脚本

1. 将设备22映射至本地7777（本地转发）

   plink.exe -L 7777:DEVICE_IP:22 root@DEVICE_IP -N
   

2. 将本地7777转发至远端Linux服务器¹7777（远程转发）

   plink.exe -R 7777:127.0.0.1:7777 USER@SERVER_IP -P SSH_PORT -N
   

3. 最后，登录服务器，发起反向连接，即可通联内网设备：

   ssh -p 7777 DEVICE_USER@127.0.0.1
   

4. 补充：让其它主机通过SERVER_IP:PORT的方式通联内网设备：
   重点在服务器端：启用GatewayPorts（允许SSH网关转发）

   • Dropbear（OpenWrt）

     uci set dropbear.dropbear.GatewayPorts='on'
     uci commit
     

   • Dropbear（Ubuntu/CentOS, etc）

     Man page of dropbear
     #any additional arguments for Dropbear
     -a Allow remote hosts to connect to forward ports.

     添加额外参数（Dropbear根据参数启动，不另设配置文件）

     vim /etc/default/dropbear
     ...
     DROPBEAR_EXTRA_ARGS=-a
     ...
     

   • OpenSSH（Ubuntu/CentOS, etc）

     vim /etc/ssh/sshd_config
     ...
     GatewayPorts yes
     ...
     

   • 重启ssh进程并重新建立远程转发隧道

     Linux服务器

     # OpenWrt
     /etc/init.d/dropbear restart
     # Ubuntu
     sudo service dropbear restart
     

     充当中继器的双网卡PC

     # Windows
     plink.exe -R 0.0.0.0：7777:127.0.0.1:7777 USER@SERVER_IP -P SSH_PORT -N
     # Linux
     ssh -fNR 0.0.0.0:7777:127.0.0.1:7777
     

5. 状态检查

   Windows

   D:\> netstat -aon|findstr "7777"
   TCP    0.0.0.0:7777           0.0.0.0:0              LISTENING       1100
   TCP    [::]:7777              [::]:0                 LISTENING       1100
   

   Linux

   xxx@Mission:~$ sudo netstat -nlp | grep 
   tcp	 0   0   127.0.0.1:7777   0.0.0.0:*   LISTEN   11992/dropbear
   # If you allow remote hosts to connect to forward ports
   tcp	 0   0   0.0.0.0:7777   0.0.0.0:*   LISTEN   11992/dropbear
   

安全性

1. 最低权限账户
2. 账户不可登录 /usr/sbin/nologin
3. 无账户目录 /nonexistent
4. 服务端完全禁止密码认证并开启免密登录

sudo useradd -s /sbin/nologin -M -g nogroup username

问：nologin用户无法登录

tail -f cat /var/log/auth.log
May 23 23:21:54 RAS dropbear[20395]: User 'xxx' has invalid shell, rejected

/sbin/nologin in /etc/shells ?

echo '/usr/sbin/nologin' >> /etc/shells

高可用

FIXME

沿途

O’Reilly Media,Inc.
desproxy Project

鸣谢

SSH Tunnel 高可用
SSH 权威指南 第一版
SSH, The Secure Shell: The Definitive Guide, 2nd Edition

ProcessOn - 免费在线作图，实时协作
小米路由（OpenWrt）折腾记（一）-- ssh连接公司内网
Create a SOCKS proxy on a Linux server with SSH to bypass content filters