利用ssh反向代理以及autossh实现从外网连接内网服务器

以你之姓@ 2022-10-14 00:43 275阅读 0赞

# 1. 背景 #

如何在公司外面，就可以访问公司内部的服务器；  
如果在不能控制网络配置的情况下，将内网的服务器，向外提供网络服务(就是让外网的人，可以访问内网的服务器)

这些都可以用一个简单的代理来实现；

# 2. 场景 #

<table style="width:500px;"> 
 <tbody> 
  <tr> 
   <td>机器&nbsp;</td> 
   <td>ip</td> 
   <td>用户名</td> 
   <td>备注</td> 
  </tr> 
  <tr> 
   <td>A</td> 
   <td>192.168.1.100</td> 
   <td>user1</td> 
   <td>需要提供服务的服务器，处于内网</td> 
  </tr> 
  <tr> 
   <td>B</td> 
   <td>123.123.123.123&nbsp;</td> 
   <td>user2</td> 
   <td>外网服务器，相当于桥梁的作用</td> 
  </tr> 
 </tbody> 
</table>

# 3. 解决方法 #

就是在机器A上做到B机器的反向代理；然后在B机器上做正向的代理实现本地端口的转发.

## 3.1 环境 ##

内外网的OS都是centos7；  
每台都要安装autossh的客户端（安装命令：yum install autossh）

## 3.2 介绍一下ssh参数： ##

反向代理 ssh -fNR

-f 后台执行ssh指令
    -C 允许压缩数据
    -N 不执行远程指令
    -R 将远程主机(服务器)的某个端口转发到本地端指定机器的指定端口
    -L 将本地机(客户机)的某个端口转发到远端指定机器的指定端口
    -p 指定远程主机的端口

## 3.3 介绍一下autossh参数： ##

usage: autossh [-V] [-M monitor_port[:echo_port]] [-f] [SSH_OPTIONS]
    
        -M specifies monitor port. May be overridden by environment
           variable AUTOSSH_PORT. 0 turns monitoring loop off.
           Alternatively, a port for an echo service on the remote
           machine may be specified. (Normally port 7.)
        -f run in background (autossh handles this, and does not
           pass it to ssh.)
        -V print autossh version and exit.
    
    Environment variables are:
        AUTOSSH_GATETIME    - how long must an ssh session be established
                              before we decide it really was established
                              (in seconds). Default is 30 seconds; use of -f
                              flag sets this to 0.
        AUTOSSH_LOGFILE     - file to log to (default is to use the syslog
                              facility)
        AUTOSSH_LOGLEVEL    - level of log verbosity
        AUTOSSH_MAXLIFETIME - set the maximum time to live (seconds)
        AUTOSSH_MAXSTART    - max times to restart (default is no limit)
        AUTOSSH_MESSAGE     - message to append to echo string (max 64 bytes)
        AUTOSSH_PATH        - path to ssh if not default
        AUTOSSH_PIDFILE     - write pid to this file
        AUTOSSH_POLL        - how often to check the connection (seconds)
        AUTOSSH_FIRST_POLL  - time before first connection check (seconds)
        AUTOSSH_PORT        - port to use for monitor connection
        AUTOSSH_DEBUG       - turn logging to maximum verbosity and log to
                              stderr

autossh 可以理解为一个带有自动重连的ssh。只有3个使用参数，其他的为环境变量。 使用上和ssh基本一致。

# 3. 具体操作： #

## 3.1 首先实现A无密码登录到B机器 ##

将需要穿透的服务器A生成公钥发送至外网服务器B上，作用是执行autossh不用输入密码

### a. 在A服务器上生成公钥 ###

ssh-keygen   
一路回车即可生成$home/.ssh/id\_rsa.pub。

### b.发送至外网服务器B上 ###

将公钥追加至外网服务器$home/.ssh/authorized\_keys  
ssh-copy-id root@123.123.123.123  
输入密码回车，即可！

## 3.2 在A服务器上建立A机器到B机器的反向代理 ##

具体指令：

ssh -fNR [B机器IP或省略]:[B机器端口]:[A机器的IP]:[A机器端口] [登陆B机器的用户名@服务器IP]

在这里我使用了B机器的2222端口，以及A机器的22端口，按照上面的指令就是这样子的操作

ssh -fNR 2222:localhost:22 root@123.123.123.123

autossh的指令：

autossh -M 1111 -fNR 2222:localhost:22 root@123.123.123.123

这里的增加了一个参数【-M 1111】,这个是autossh的监控端口，用来监控2222端口是否连接正常，如果不正常，则进行重连。

# 4. 测试代理 #

至此我们都配置好了AB机器，那么我们就可以从一部外网的电脑登陆到内网里面去啦。鉴于我目前的电脑在内网，而服务器都是外网的（也就是配置的B机器），所以可以通过B机器连接到我内网的A中，具体指令为：

ssh -p 2222 user1@123.123.123.123

在此-p参数为指定登陆的IP，我们在上面指定了2222端口为转发端口，故用2222端口登陆，然后user1是内网A机器的用户名，123.123.123.123为外网B机器的IP地址。

# 5. 稳定性 #

ssh反向链接会因为超时而关闭，如果关闭了那从外网连通内网的通道就无法维持了。一种方式就是修改默认的超时和心跳参数，另外一种做发就是用autossh连接。  
不过依然会有一些假死的问题，存在。 这个就是需要推销一下前面介绍autossh里面的那些环境变量了。  
以下提供的是一个完整的连接配置：

export AUTOSSH_PIDFILE=/root/autossh.pid
    export AUTOSSH_LOGFILE=/root/autossh.log
    export AUTOSSH_LOGLEVEL=DEBUG
    export AUTOSSH_POLL=60
    export AUTOSSH_FIRST_POLL=30
    export AUTOSSH_GATETIME=0
    export AUTOSSH_DEBUG=1
    autossh -M 29998 -fNR 29999:localhost:80 root@118.178.180.139 -o "ServerAliveInterval 60" -o "ServerAliveCountMax 3" -o BatchMode=yes -o StrictHostKeyChecking=no
    echo "autossh is started!"