sshpiper 根据用户名的 ssh 反向代理 (附: 配合 docker 合租实例)

有了这个东西就可以制作一个超级跳板机

通过一些规则隔离登陆人群极大提升安全性

+---------+                      +------------------+          +-----------------+
|         |                      |                  |          |                 |
|   Bob   +----ssh -l bob----+   |   SSH Piper   +------------->   Bob' machine  |
|         |                  |   |               |  |          |                 |
+---------+                  |   |               |  |          +-----------------+
                             +---> pipe-by-name--+  |                             
+---------+                  |   |               |  |          +-----------------+
|         |                  |   |               |  |          |                 |
|  Alice  +----ssh -l alice--+   |               +------------->  Alice' machine |
|         |                      |                  |          |                 |
+---------+                      +------------------+          +-----------------+

＃一个配合sshpiper + docker 的合租用法

几个朋友共用一个云服务器（主要是因为穷）
有人瞎搞整个服务器就不能用了
而且还有些文件不想被别人看到
软件冲突等等

于是想到用 docker 隔离各位租户
不过登录就成了大问题
于是我在前段时间开发了 https://github.com/tg123/sshpiper 来解决登录问题
这样大家使用域名可以直接登录到自己的容器中
这样就完全看不到别人了

安装sshpierd

目前 sshpiper 提供了 deb 和 binary
可以到这里下载 https://github.com/tg123/sshpiper/releases

下载后直接安装就可以了
sudo dpkg -i sshpiperd_0.1_amd64.deb

安装docker

演示服务器是一台 debian 7 (阿里云)
阿里云的 debian 想用 docker 得升级下内核
docker 官方有详细攻略
https://docs.docker.com/installation/debian/

开始举例子

创建一个可以 ssh 的 debian 容器给小明用
这里边直接用了 tutum 的镜像当然你也可以自己作镜像

$ docker run --name xiaoming -d -p 127.0.0.1:2201:22 tutum/debian

查看刚才镜像的root的密码

$ docker logs xiaoming

登录到容器里边给小明创建账户

$ ssh root@127.0.01 -p 2201
# adduser xiaoming

[可选] 如果需要 sudo 如何解决

# apt-get install sudo
# usermod -a -G sudo xiaoming
# id xiaoming
uid=1000(xiaoming) gid=1000(xiaoming) groups=1000(xiaoming),27(sudo)

同样给小红配置一个独立的容器

$ docker run --name xiaohong -d -p 127.0.0.1:2202:22 tutum/debian

... 配置步骤省略

配置 sshpiper 让路由 ssh 登录请求

创建工作目录

cd /var/sshpiper
sudo mkdir xiaoming
sudo mkdir xiaohong

把服务器地址写进去

sudo sh -c "umask 077 && echo 127.0.0.1:2201 > xiaoming/sshpiper_upstream"
sudo sh -c "umask 077 && echo 127.0.0.1:2202 > xiaohong/sshpiper_upstream"

sshpiper 默认监听在 2222 上可以通过 /etc/sshpiperd.conf 修改

ssh 127.0.0.1 -p 2222 -l xiaoming
xiaoming@e61c2dd7d9c5:~

ssh 127.0.0.1 -p 2222 -l xiaohong
xiaohong@0cd87b1f5d5f

他们互相看不到对方装软件也不会互相影响

进阶使用 ssh 证书

刚才配置完密码是可以登录的
但是证书登录需要更多配置
这是由于 ssh 安全机制防止中间人攻击的原因

sshpiper 需要对 ssh 验证过程作二次签名所以还需要一个证书
验证时候 sshpiper 作映射来解决中间人问题

生成小明的二次签名证书
sudo ssh-keygen -f /var/sshpiper/xiaoming/id_rsa
让小明的服务器二次签名证书
ssh-copy-id -i /var/sshpiper/xiaoming/id_rsa "xiaoming@127.0.0.1 -p 2201"

让 sshpiper 信任小明 (需要小明提供他的公钥忘记了可以通过 ssh-keygen -y -f 证书私钥查看)
sudo sh -c "umask 077 && echo 'ssh-rsa AAAAB3NzaC1y..省略..utWKMuk/CzM+B9C9kVQGa7R' >> /var/sshpiper/xiaoming/authorized_keys"

这样小明就可以通过他自己的私钥登录到服务器上他自己的容器中了
ssh 127.0.0.1 -p 2222 -l xiaoming -i xiaoming_key

最后

docker 的容器里边的 root 就是宿主机器的 root 这个安全问题大家要清楚的
不过认识的人一起合租一个服务器就不用考虑这些了

sshpiper 主要是帮你解决如何让大家更方便的跳到自己的容器中

sshpiper 根据用户名 的 ssh 反向代理 (附: 配合 docker 合租实例)