利用ssh反向代理以及autossh实现从外网连接内网服务器

巢安澜

2023-12-01

1. 背景

如何在公司外面，就可以访问公司内部的服务器；
如果在不能控制网络配置的情况下，将内网的服务器，向外提供网络服务(就是让外网的人，可以访问内网的服务器)

这些都可以用一个简单的代理来实现；

2. 场景

机器	ip	用户名	备注
A	192.168.1.100	user1	需要提供服务的服务器，处于内网
B	123.123.123.123	user2	外网服务器，相当于桥梁的作用

3. 解决方法

就是在机器A上做到B机器的反向代理；然后在B机器上做正向的代理实现本地端口的转发.

3.1 环境

内外网的OS都是centos7；
每台都要安装autossh的客户端（安装命令：yum install autossh）

3.2 介绍一下ssh参数：

反向代理 ssh -fNR

-f 后台执行ssh指令
-C 允许压缩数据
-N 不执行远程指令
-R 将远程主机(服务器)的某个端口转发到本地端指定机器的指定端口
-L 将本地机(客户机)的某个端口转发到远端指定机器的指定端口
-p 指定远程主机的端口

3.3 介绍一下autossh参数：

usage: autossh [-V] [-M monitor_port[:echo_port]] [-f] [SSH_OPTIONS]

    -M specifies monitor port. May be overridden by environment
       variable AUTOSSH_PORT. 0 turns monitoring loop off.
       Alternatively, a port for an echo service on the remote
       machine may be specified. (Normally port 7.)
    -f run in background (autossh handles this, and does not
       pass it to ssh.)
    -V print autossh version and exit.

Environment variables are:
    AUTOSSH_GATETIME    - how long must an ssh session be established
                          before we decide it really was established
                          (in seconds). Default is 30 seconds; use of -f
                          flag sets this to 0.
    AUTOSSH_LOGFILE     - file to log to (default is to use the syslog
                          facility)
    AUTOSSH_LOGLEVEL    - level of log verbosity
    AUTOSSH_MAXLIFETIME - set the maximum time to live (seconds)
    AUTOSSH_MAXSTART    - max times to restart (default is no limit)
    AUTOSSH_MESSAGE     - message to append to echo string (max 64 bytes)
    AUTOSSH_PATH        - path to ssh if not default
    AUTOSSH_PIDFILE     - write pid to this file
    AUTOSSH_POLL        - how often to check the connection (seconds)
    AUTOSSH_FIRST_POLL  - time before first connection check (seconds)
    AUTOSSH_PORT        - port to use for monitor connection
    AUTOSSH_DEBUG       - turn logging to maximum verbosity and log to
                          stderr

autossh 可以理解为一个带有自动重连的ssh。只有3个使用参数，其他的为环境变量。使用上和ssh基本一致。

3. 具体操作：

3.1 首先实现A无密码登录到B机器

将需要穿透的服务器A生成公钥发送至外网服务器B上，作用是执行autossh不用输入密码

a. 在A服务器上生成公钥

ssh-keygen
一路回车即可生成$home/.ssh/id_rsa.pub。

b.发送至外网服务器B上

将公钥追加至外网服务器$home/.ssh/authorized_keys
ssh-copy-id root@123.123.123.123
输入密码回车，即可！

3.2 在A服务器上建立A机器到B机器的反向代理

具体指令：

ssh -fNR [B机器IP或省略]:[B机器端口]:[A机器的IP]:[A机器端口] [登陆B机器的用户名@服务器IP]

在这里我使用了B机器的2222端口，以及A机器的22端口，按照上面的指令就是这样子的操作

ssh -fNR 2222:localhost:22 root@123.123.123.123

autossh的指令：

autossh -M 1111 -fNR 2222:localhost:22 root@123.123.123.123

这里的增加了一个参数【-M 1111】,这个是autossh的监控端口，用来监控2222端口是否连接正常，如果不正常，则进行重连。

4. 测试代理

至此我们都配置好了AB机器，那么我们就可以从一部外网的电脑登陆到内网里面去啦。鉴于我目前的电脑在内网，而服务器都是外网的（也就是配置的B机器），所以可以通过B机器连接到我内网的A中，具体指令为：

ssh -p 2222 user1@123.123.123.123

在此-p参数为指定登陆的IP，我们在上面指定了2222端口为转发端口，故用2222端口登陆，然后user1是内网A机器的用户名，123.123.123.123为外网B机器的IP地址。

5. 稳定性

ssh反向链接会因为超时而关闭，如果关闭了那从外网连通内网的通道就无法维持了。一种方式就是修改默认的超时和心跳参数，另外一种做发就是用autossh连接。
不过依然会有一些假死的问题，存在。这个就是需要推销一下前面介绍autossh里面的那些环境变量了。
以下提供的是一个完整的连接配置：

export AUTOSSH_PIDFILE=/root/autossh.pid
export AUTOSSH_LOGFILE=/root/autossh.log
export AUTOSSH_LOGLEVEL=DEBUG
export AUTOSSH_POLL=60
export AUTOSSH_FIRST_POLL=30
export AUTOSSH_GATETIME=0
export AUTOSSH_DEBUG=1
autossh -M 29998 -fNR 29999:localhost:80 root@118.178.180.139 -o "ServerAliveInterval 60" -o "ServerAliveCountMax 3" -o BatchMode=yes -o StrictHostKeyChecking=no
echo "autossh is started!"