建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
筆者在工作中遇到此場(chǎng)景，如下兩條網(wǎng)絡(luò)限制下，總部如何訪(fǎng)問(wèn)分公司內(nèi)部web服務(wù)器？
在綏芬河等地區(qū)，都構(gòu)建了全面的區(qū)域性戰(zhàn)略布局，加強(qiáng)發(fā)展的系統(tǒng)性、市場(chǎng)前瞻性、產(chǎn)品創(chuàng)新能力，以專(zhuān)注、極致的服務(wù)理念，為客戶(hù)提供成都網(wǎng)站制作、網(wǎng)站設(shè)計(jì) 網(wǎng)站設(shè)計(jì)制作定制設(shè)計(jì),公司網(wǎng)站建設(shè),企業(yè)網(wǎng)站建設(shè),品牌網(wǎng)站制作,全網(wǎng)整合營(yíng)銷(xiāo)推廣,成都外貿(mào)網(wǎng)站建設(shè),綏芬河網(wǎng)站建設(shè)費(fèi)用合理。
- dmz服務(wù)器可以訪(fǎng)問(wèn)總部外網(wǎng)服務(wù)器22端口，不可以訪(fǎng)問(wèn)web服務(wù)器；
- web服務(wù)器不可訪(fǎng)問(wèn)公網(wǎng)，但是到dmz網(wǎng)絡(luò)無(wú)限制。
初看需求，我們第一個(gè)想到的肯定是內(nèi)網(wǎng)端口映射到公網(wǎng)，或者vpn，但是不修改網(wǎng)絡(luò)策略情況下很難實(shí)現(xiàn)。有沒(méi)有別的方法呢，我們繼續(xù)從純網(wǎng)絡(luò)角度分析現(xiàn)有條件。
網(wǎng)絡(luò)通信是雙向的，有請(qǐng)求，有回應(yīng)，就是我們俗稱(chēng)的“通”。dmz可以訪(fǎng)問(wèn)外部22端口，代表請(qǐng)求，回包兩個(gè)通信通道都是通暢的，我們是否可以借助回包通道，從外部發(fā)起到內(nèi)部的反向訪(fǎng)問(wèn)呢？答案當(dāng)然是有的，我們來(lái)試一試，需要ssh工具。
我們?cè)赿mz執(zhí)行如下命令。
[root@dmz]# ssh -f -N -g -R 6606:10.1.1.1:80 root@115.100.100.100
-f #代表后臺(tái)運(yùn)行程序
-N #表示使用遠(yuǎn)程端口轉(zhuǎn)發(fā)創(chuàng)建ssh隧道
-g #監(jiān)聽(tīng)本機(jī)所有IP地址
-R #表示使用遠(yuǎn)程端口轉(zhuǎn)發(fā)創(chuàng)建ssh隧道
命令結(jié)合起來(lái)什么意思呢，我們使用root用戶(hù)遠(yuǎn)程連接到115.100.100.100，并且遠(yuǎn)程主機(jī)監(jiān)聽(tīng)6606端口，當(dāng)訪(fǎng)問(wèn)此端口時(shí)，會(huì)跳轉(zhuǎn)到dmz的80端口。此過(guò)程會(huì)使用到ssh隧道。dmz運(yùn)行之后，總部服務(wù)器的已經(jīng)有了端口監(jiān)聽(tīng)。
[root@center]# netstat -tunlp | grep 6606
tcp 0 0 127.0.0.1:6606 0.0.0.0:* LISTEN 8616/sshd: root
我們?cè)诳偛糠?wù)器嘗試端口提示拒絕，代表網(wǎng)絡(luò)已經(jīng)打通了，但是dmz服務(wù)器并沒(méi)有監(jiān)聽(tīng)80端口，所以報(bào)端口拒絕。
[root@center]# telnet 127.0.0.1 6606
Trying 127.0.0.1...
telnet: connect to address 127.0.0.1: Connection refused
如法炮制，再把web服務(wù)器到dmz的網(wǎng)絡(luò)反向打通，dmz服務(wù)器訪(fǎng)問(wèn)本地80端口時(shí)將跳轉(zhuǎn)到web服務(wù)器的80端口。
[root@web]# ssh -f -N -g -R 80:10.1.1.1:80 root@10.1.1.2
再次到總部服務(wù)器測(cè)試訪(fǎng)問(wèn)就能通信了
[root@center]# telnet 127.0.0.1 6606
Trying 127.0.0.1...
Connected to 127.0.0.1.
Escape character is '^]'.
我們最后從網(wǎng)絡(luò)角度來(lái)回顧數(shù)據(jù)包的的轉(zhuǎn)發(fā)過(guò)程。
從總部服務(wù)器看到如下信息。
#dmz服務(wù)器以115.100.100.101:29493作源，訪(fǎng)問(wèn)本地22端口，建立了tcp連接。
[root@center]# ss | grep 115.
tcp ESTAB 0 0 172.16.1.1:22 115.100.100.101:29493
[root@center]# netstat -tpna | grep 115.
tcp 0 0 172.16.1.127:22 101.230.91.53:29493 ESTABLISHED 8555/sshd: root
#本地端口也對(duì)應(yīng)到了進(jìn)程號(hào)8616
[root@center]#netstat -tunlp | grep 6606
tcp 0 0 127.0.0.1:6606 0.0.0.0:* LISTEN 8616/sshd: root[root@center]# ps -ef | grep 8616
root 8616 8555 0 Dec03 ? 00:01:04 sshd: root.
當(dāng)總部服務(wù)器訪(fǎng)問(wèn)127.0.0.1:6606時(shí)，網(wǎng)絡(luò)連接信息如下。
#雙向通道已經(jīng)建立
[root@center]# ss | grep 6606
tcp ESTAB 0 0 127.0.0.1:6606 127.0.0.1:51158
tcp ESTAB 0 0 127.0.0.1:51158 127.0.0.1:6606
我們最后用圖片來(lái)展示最終網(wǎng)絡(luò)轉(zhuǎn)發(fā)過(guò)程。
dmz發(fā)起ssh連接到總部服務(wù)器，并且遠(yuǎn)程端口轉(zhuǎn)發(fā)。遠(yuǎn)程服務(wù)器訪(fǎng)問(wèn)轉(zhuǎn)發(fā)端口時(shí)，數(shù)據(jù)將封裝到回包通道，由于ssh本身加密，外部網(wǎng)絡(luò)無(wú)法知曉網(wǎng)絡(luò)交互邏輯，從而實(shí)現(xiàn)反向訪(fǎng)問(wèn)。
本文名稱(chēng)：妙??！巧用SSH突破限制穿透內(nèi)網(wǎng)
網(wǎng)站網(wǎng)址：http://www.5511xx.com/article/djcjegs.html
