2. 程式人生 > >讓AWS虛機訪問公司內網資源（SSH反向代理）

讓AWS虛機訪問公司內網資源（SSH反向代理）

阿新 • • 發佈：2018-10-31

背景說明

今天我要將AWS虛機升級到beta版本並進行一些測試。

由於beta版本只在公司內網提供，因此我需要將升級用的檔案手動拷貝到AWS虛機中。原始的方法，很容易理解：

  1. 用AWS上能找到的最新版本AMI啟動一個虛機。
  2. 將映象檔案RHEL-7.4-20170621.0-Server-x86_64-dvd1.iso拷貝到這個虛機中。
  3. Mount這個映象檔案，並以此建立YUM源。
  4. 執行yum update操作完成更新。

然而這就遇到一個問題，因為映象檔案有4.2GB大小，傳輸過程不僅佔用頻寬資源，而且還會浪費很多時間。

研究過程

方案1【被捨棄】

解決辦法我首先想到將目錄http://download.intranet.shadowman.com/paths/RHEL-7.4-20170621.0/compose/Server/x86_64/debug/tree/拷貝到虛機上，然後用它來做YUM源進行升級。但我很快就發現自己並不能確定哪些package是升級所需要的，因此只能上傳全部的檔案，這樣做並不能有效解決問題。

方案2【被捨棄】

其次，我想到在AWS虛機上安裝客戶端，通過VPN方式訪問內網資源。這樣做當然是可行的，只是openvpn配置起來需要將證書拷來拷去，這使我擔心潛在的安全問題，也擔心後續會過多地佔用VPN伺服器資源，因此這個想法只能作罷。

方案3【被捨棄】

後來，我想到了一個辦法，將公司內網的HTTP代理伺服器，用反向連線的方式，共享給AWS虛機，用到的命令大概會是這樣：

ssh -R 8080:squid.intranet.shadowman.com:3128 -i ~/.pem/cheshi.pem [email protected]13-113-60-192.ap-northeast-1.compute.amazonaws.com

這樣做應該是最簡單的方案了，但是它還有一個小問題，所有流量都要去公司代理伺服器上繞一圈，資料通路看起來會是這樣的：

AWS虛機 <=> MyHost(內網主機) <=> ProxyServer(內網代理伺服器) <=> FileServer(內網更新伺服器)

浪費資源是一方面，更重要的是如果更新量很大，過多地佔用了公司代理伺服器的資源，有可能會被IT部門審計出來。

方案4【被採納】

於是，我將這個方案進行了一些改進。我直接將MyHost做成了ProxyServer，並將代理伺服器埠對映到AWS虛機中，這樣就不會過多地佔用公司伺服器的資源，速度也應該會快一些。此時的資料通路會是這樣的：

AWS虛機 <=> MyHost(內網主機即代理伺服器) <=> FileServer(內網更新伺服器)

下面是我的實現步驟。

搭建代理服務

ProxyServer我用的是Squid，它是一款開源軟體，配置十分簡單，幾乎不用修改任何配置就可以拿來當HTTP代理伺服器用。首先，登入MyHost並執行：

[[email protected]1-202 ~]# yum install -y squid
[[email protected]1-202 ~]# squid -z  # 初始化資料庫
[[email protected]1-202 ~]# systemctl start squid.service

反向對映埠（Reverse SSH tunnel）

我需要將本地的3128埠（也就是Squid服務的預設埠）對映到AWS虛機的8080埠，讓虛機可以直接使用這個代理伺服器。用到的命令是：

# ssh反向對映埠
ssh -R [伺服器IP或省略]:[伺服器埠]:[客戶端能訪問的IP]:[客戶端能訪問的IP的埠] [登陸伺服器的使用者名稱@伺服器IP] -p [伺服器ssh服務埠（預設22）]

換成我的情況，我需要使用下面這樣的命令：

[[email protected]1-202 ~]# ssh -R 8080:127.0.0.1:3128 -i ~/.pem/cheshi.pem -l ec2-user ec2-13-113-60-192.ap-northeast-1.compute.amazonaws.com
Last login: Wed Jul  5 05:00:34 2017 from 119.254.120.66
[[email protected]172-31-2-249 ~]$

這樣的命令會同時開啟一個到伺服器（也就是AWS虛機）的console，在這個console連通的時候，代理伺服器都是有效的，關閉這個console後，埠對映也就終止了。如果你想在不開啟console的情況下使埠對映生效，你可以在上述命令中新增-Nf選項。

[[email protected]1-202 ~]# ssh -Nf -R 8080:127.0.0.1:3128 -i ~/.pem/cheshi.pem -l ec2-user ec2-52-193-95-192.ap-northeast-1.compute.amazonaws.com
[[email protected]1-202 ~]# ps -ef | grep "ssh -Nf"
root     25126     1  0 13:10 ?        00:00:00 ssh -Nf -R 8080:127.0.0.1:3128 -i /root/.pem/cheshi.pem -l ec2-user ec2-52-193-95-192.ap-northeast-1.compute.amazonaws.com
root     25176 16347  0 13:16 pts/0    00:00:00 grep --color=auto ssh -Nf
[[email protected]1-202 ~]#

擴充套件閱讀：使用ssh正向連線、反向連線、做socks代理的方法

注意：使用-Nf選項建立tunnel有可能使你在將來忘記它的存在。為此，出於安全考慮，我建議你使用不帶-Nf選項的“閱後即焚”的連線方式。

在虛機中使用yum

來到AWS虛機中，新增YUM源，併為其設定代理伺服器（http://127.0.0.1:8080/）。

[[email protected]172-31-10-95 ~]$ cat /etc/yum.repos.d/rhel7u4.repo
[rhel7u4-debug]
name=rhel7u4-debug
baseurl=http://download.intranet.shadowman.com/paths/RHEL-7.4-20170621.0/compose/Server/x86_64/os
enabled=1
gpgcheck=0
proxy=http://127.0.0.1:8080/
[[email protected]172-31-10-95 ~]$

備註：因為有代理伺服器在，所以這裡的baseurl可以直接填寫MyHost可以訪問的任何一臺更新伺服器。

然後，就可以通過YUM源進行更新了：

[[email protected]172-31-10-95 ~]$ sudo yum update --enablerepo=rhel7u4-debug
Loaded plugins: amazon-id, rhui-lb, search-disabled-repos
Resolving Dependencies
--> Running transaction check
---> Package NetworkManager.x86_64 1:1.8.0-0.4.rc3.el7 will be updated
---> Package NetworkManager.x86_64 1:1.8.0-9.el7 will be an update
......
Complete!
[[email protected]172-31-10-95 ~]$

備註：如果沒有設定代理伺服器，或者代理伺服器的連線有問題（通常是由於MyHost上的防火牆所致），就會收到"Could not resolve host: download.intranet.shadowman.com; Name or service not known"的訊息。

在虛機中使用wget

搭建代理伺服器的好處多多，比如可以通過wget下載：

[[email protected]172-31-10-95 ~]$ export http_proxy=http://127.0.0.1:8080/
[[email protected]172-31-10-95 ~]$ wget http://download.intranet.shadowman.com/paths/packages/cloud-init/0.7.9/4.el7/x86_64/cloud-init-0.7.9-4.el7.x86_64.rpm
......
Saving to: ‘cloud-init-0.7.9-4.el7.x86_64.rpm’

100%[=================================================================>] 633,112      349KB/s   in 1.8s   

2017-07-05 02:17:51 (349 KB/s) - ‘cloud-init-0.7.9-4.el7.x86_64.rpm’ saved [633112/633112]

[[email protected]172-31-10-95 ~]$

在虛機中使用更多工具

除此之外，還有很多工具支援使用代理伺服器，當然你需要經過適當的配置，這裡就不再展開敘述了。

擴充套件閱讀：Linux設定代理

防火牆設定及功能除錯

通過firewall-cmd可以很容易地為Squid服務新增防火牆規則：

[[email protected]1-202 ~]# firewall-cmd --get-default-zone 
FedoraServer
[[email protected]1-202 ~]# firewall-cmd --add-service=squid
success
[[email protected]1-202 ~]# firewall-cmd --list-services
ssh dhcpv6-client cockpit squid
[[email protected]1-202 ~]#

除錯和排錯時，可以使用nmap這個工具，它可以列出某臺主機對外開放的埠及對應的服務。

在MyHost上，我們應該可以看到3128/tcp埠被開啟，對應的服務是squid-http：

[[email protected]1-202 ~]# nmap localhost

Starting Nmap 7.40 ( https://nmap.org ) at 2017-07-05 12:31 CST
Nmap scan report for localhost (127.0.0.1)
Host is up (0.0000050s latency).
Other addresses for localhost (not scanned): ::1
Not shown: 995 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
111/tcp  open  rpcbind
2049/tcp open  nfs
3128/tcp open  squid-http
9090/tcp open  zeus-admin

Nmap done: 1 IP address (1 host up) scanned in 0.09 seconds
[[email protected]1-202 ~]#

而在AWS虛機中，我們也應該可以看到8080/tcp埠被開啟：

[[email protected]172-31-2-249 ~]$ nmap localhost

Starting Nmap 6.40 ( http://nmap.org ) at 2017-07-05 04:33 UTC
Nmap scan report for localhost (127.0.0.1)
Host is up (0.00034s latency).
Other addresses for localhost (not scanned): 127.0.0.1
Not shown: 997 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
25/tcp   open  smtp
8080/tcp open  http-proxy

Nmap done: 1 IP address (1 host up) scanned in 0.07 seconds
[[email protected]172-31-2-249 ~]$

此時，還可以進一步使用nc命令驗證8080/tcp埠的服務狀態，這裡不再贅述。

基於方案4的指令碼

這個指令碼執行在內網主機上，使用內網repo資源升級AWS上的虛擬機器：
https://github.com/SCHEN2015/virt-utils/tree/master/aws_vm_upgrade

結束語

相信大家已經看到，ssh是個非常強大的命令，但無論是哪種連線方式，對於伺服器和整個內網而言，它都不會隱藏你的真實身份，因此你仍然需要為自己的行為負責，不要去做一些違反公司政策的事情。

另外，你需要考慮一些安全問題。由於ssh提供了安全的連線，而內網又在防火牆的保護之中，因此你唯一需要關心的問題是——你所連線的伺服器存在安全隱患嗎？舉例來說，如果你將代理伺服器的埠對映到了一臺具有弱口令的外網主機，而攻破這臺主機的黑客，就有可能通過對映埠訪問到一些內網資源，造成洩密事件的發生。好在AWS的虛機預設情況下都安全得很，我能夠提醒你的是：不要允許密碼登入並保管好你的證書。

總而言之，技術本身是沒有善惡的，但使用者要對自己的行為負責，也要對整個網路的安全負責。

參考文獻

  1. 使用ssh正向連線、反向連線、做socks代理的方法 http://blog.csdn.net/linsanhua/article/details/17360369
  2. Centos下搭建Squid代理伺服器詳細教程 http://www.tuicool.com/articles/IJzeAv2
  3. Linux設定代理 http://www.361way.com/linux-proxy/4184.html
  4. FirewallD/zh-cn - FedoraProject https://fedoraproject.org/w/index.php?title=FirewallD/zh-cn

相關推薦

讓AWS虛機訪問公司內網資源（SSH反向代理）

背景說明 今天我要將AWS虛機升級到beta版本並進行一些測試。 由於beta版本只在公司內網提供，因此我需要將升級用的檔案手動拷貝到AWS虛機中。原始的方法，很容易理解： 用AWS上能找到的最新版本AMI啟動一個虛機。 將映象檔案RHEL-7.4-201706

利用vps實現訪問公司內網windows遠程桌面

馬哥教育 linux 服務端：vps客戶端：windows主機 vps安裝、配置、後臺運行frp server。 訪問https://github.com/fatedier/frp/releases 獲取vps系統對應的frp程序包。 連接vps，下載對應的程序包。 ~]# wget https:/

使用frp通過ssh訪問公司內網機器

.gz 客戶 oca git 安裝包 公網 serve AR 公司 https://github.com/fatedier/frp/ github地址（具有中文文檔）從Release頁面下載安裝包本次是使用frp_0.20.0_linux_amd64.tar.gz版本通過S

訪問家庭內網資源

現狀 通常家庭接入Internet都是採用無線路由經PPPoE連線到ISP的。家庭的各種裝置，例如計算機、筆記本、移動裝置、NAS和智慧硬體等各自有一個區域網IP地址，通過雙絞線或者WiFi連線到無線路由器。無線路由自己有一個區域網IP地址，可以通過Web經由

使用LoopcRDP在家遠端控制公司內網電腦（遠端桌面）

和Teamviewer這個軟體差不多，穿透內網，適合沒有公網ip或不能搞埠對映的電腦使用。比如公司的工作機，學校寢室的電腦。但是相比Teamviewer有一個顯著的優點：只需在被控端安裝該軟體即可，主控端不用安裝任何其他軟體，直接使用windows自帶的遠端桌面聯結器msts

內網穿透（ngrok伺服器搭建）

轉載：https://blog.csdn.net/zhangguo5/article/details/77848658?utm_source=5ibc.net&utm_medium=referral 簡單來說內網穿透的目的是：讓外網能訪問你本地的應用，例如在外網開啟你本地http://1

一分鐘實現內網穿透（ngrok伺服器搭建）

簡單來說內網穿透的目的是：讓外網能訪問你本地的應用，例如在外網開啟你本地http://127.0.0.1指向的Web站點。 最近公司的花生殼到期了，要續費，發現價格一直在漲，都是5年以上的老使用者，旗艦版都沒有實現內網完全穿透，打算自己動手替換這個服務，中間走

【智慧路由器】openwrt實現內網穿透（p2p、n2n）

背景 有時候在對線上裝置進行維護，由其是除錯的時候希望技術人員遠端進入路由後臺除錯路由資訊的時候，如果沒有內網穿透就會比較麻煩。 本篇部落格是在路由上實現內網穿透，以實現資料、檔案的點對點傳輸或訪問 閱讀時需要額外瞭解下p2p協議原理，以及n2n工

外網客戶端訪問校園內網的服務器——socket連接

ron 地址 分析 ora 客戶端 ref 情況 訪問 數據 在做客戶端與服務器的socket連接並發送數據應用中，通常有以下四種情況： 1）、客戶端在內網，服務器在內網。 對於這種情況，只需要用服務器的內網IP即可。 2）、客戶端在外網，服務器在內網。 對於這種情況，服務

在客戶公司同時連公司vpn和客戶公司內網

.com cnblogs blog 切換 網路 spa src 52.0 log 在客戶公司上班一直被一個問題困擾——連公司vpn後，就不能連客戶公司內網，所以要一直切換vpn的鏈接，麻煩。 最近找到一個辦法，很贊！！！ 在cmd中輸入route print

Windows和Mac連接公司內網共享文件夾方法

windows 用戶名 文件夾 共享 MAC連接共享文件方法：（Windows方法在後邊）1. 先在 Mac 系統中打開 Finder 應用，如圖所示2. 打開 Finder 窗口以後，請按鍵盤上的 command+K 組合鍵，如圖所示3. 隨後我們在框框中輸入地址：smb://f

公司內網不能連接VPN

vpn配置好PPTP VPN，在公司內網無法連接，提示“不能建立到遠程計算機的連接，因此用於此連接的端口已關閉”但是用手機做熱點，可以正常連接，判斷問題出在防火墻上。防火強硬件平臺：ASA5516, 8192 MB RAM, CPU Atom C2000 series 2416 MHz, 1 CPU (8 c

為公司內網搭建一個無人執守安裝服務器

Kickstart-PXE為公司內網搭建一個無人執守安裝服務器 方法 ftp + tftp + dhcp + kickstart + PXE 什麽是 PXE ？ PXE 並不是一種安裝方式，而是一種引導的方式。進行 PXE 安裝的必要條件是要安裝的計算機中包含一個PXE支持的網卡(NIC),即網卡中

連線公司內網印表機

win +r  輸入安裝印表機的電腦內網IP地址：xxx.xxx.xx.86 彈出 1、開啟此電腦，點選【解除安裝或更改程式】按鈕；   2、開啟後在右側點選【程式和功能】；   3、然後在解除安裝程式的左方點選“啟用或關閉Wi

window系統的雙網絡卡配置 同時連線 公司內網以及外網(域名可解析)

記錄一下雙網絡卡的配置 電腦有兩張網絡卡，無線和有線 我現在是使用有線去連線公司內網，無線連線外網； 公司內網的ip格式：  10.*.*.* 內網網路掩碼：         255.255.255.0 內網閘道器地址：

內網服務器通過Squid代理訪問外網

-c etc mach rmi port 圖片 ins machine determine 環境說明 　　項目整體需部署Zabbix監控並配置微信報警，而Zabbix Server並不能訪問外網，故運維小哥找了臺能訪問外網的服務器做Suqid代理，Zabbix Serve

Mac 如何遠端連線公司內網

一、開啟系統偏好設定，點選網路 二、點選“➕”按鈕，選擇介面型別 三、填寫伺服器地址、帳戶名稱，點選鑑定設定 四、輸入密碼，共享的金鑰不用填； 五、點選應用，點選連線，下圖為連線成功的狀態；如果連線不成功，繼續下一步操作； 六、建立opt

Hyper-V虛擬機訪問主機外部網絡，實現主機文件訪問

打開 vhd 9.png 訪問 無線 mage 設置 外部網絡 hyper 一、虛擬機訪問主機的外部網絡 1.打開Hyper-V管理器，操作，虛擬交換機管理器。 創建一個外部的虛擬交換機： 選擇你正在聯網的有線或者無線網卡： 2.對虛擬機，右鍵，設置，在網絡適配器那裏，

通過ssh遠端埠轉發使外網能訪問到內網機器

家裡有兩臺樹莓派平時在外面想訪問下   首先啟用伺服器端GatewayPort來使遠端網絡卡可以繫結，設定連線保持 vim /etc/ssh/sshd_config #修改以下屬性 GatewayPorts yes ClientAliveInterval 60 Client

frp 內網穿透實現 ssh 訪問內網主機

本文目的 frp 是一個可用於內網穿透的高效能的反向代理應用，支援 tcp, udp, http, https 協議。 本文將基於 frp 來實現內網穿透，從而實現從外網 ssh 登入內網主機，而不對 frp 其他的應用做過多的說明。 frp 的作用