🔹 ssh فقط برای لاگین نیست!

خیلی وقت‌ها لازم می‌شه به یه سرویس روی سرور (مثلاً پنل وب، پایگاه‌داده یا یه پورت مدیریت) از راه دور وصل بشیم، ولی نمی‌خوایم پورتی رو روی اینترنت باز بذاریم. این‌جا ssh می‌تونه مثل یه تونل امن عمل کنه و ترافیک رو از داخل کانال رمز‌شده رد کنه.

این تکنیک تو دنیای Network & Security خیلی کاربردیه؛ مخصوصاً وقتی طبق توصیه‌های OWASP و NIST می‌خوای سطح حمله (Attack Surface) رو کم کنی و پورت‌های غیرضروری رو Public نگه نداری.


📌 سناریو واقعی

فرض کن روی سرورت یه وب‌اپلیکیشن ادمین داری که فقط روی localhost:8080 گوش می‌ده و پشت فایروال مخفیه. نمی‌خوای Port 8080 رو تو اینترنت باز کنی، ولی از خونه باید بهش دسترسی داشته باشی.

با ssh Local Port Forwarding می‌تونی کاری کنی که روی سیستم لوکال خودت یه پورت (مثلاً 9090) باز شه و هرچی بهش می‌زنی، به صورت امن بره سمت سرور و به localhost:8080 اونجا وصل شه.


🛠 دستور اصلی

روی سیستم لوکال (لپ‌تاپ خودت) این رو بزن:

ssh -L 9090:localhost:8080 [email protected] -N -C

🔹 -L 9090:localhost:8080 یعنی هر درخواست به 127.0.0.1:9090 روی سیستم تو، از داخل تونل ssh بره به localhost:8080 روی سرور.

🔹 [email protected] هم یوزر و سرور مقصدت هست (می‌تونه IP هم باشه).

🔹 -N یعنی شل باز نکن، فقط تونل رو نگه دار.

🔹 -C هم Compression روشن می‌کنه که روی لینک‌های کند مفیده.

بعد از اجرا، توی مرورگر خودت بزن:

https://127.0.0.1:9090

درحالی‌که هیچ پورتی روی اینترنت برای اون سرویس باز نشده، فقط کسی که ssh-access داره به سرور، می‌تونه به پنل ادمین دسترسی داشته باشه. این یعنی هم Segmentation هم نوعی Defense in Depth ساده ولی مؤثر. 😎


✨ چند نکته امنیتی مهم

• بهتره Login با Password رو روی ssh ببندی و فقط از SSH Key استفاده کنی (توصیه‌ی OWASP هم همینه).

• حتماً AllowUsers یا AllowGroups رو توی /etc/ssh/sshd_config محدود کن که هر یوزری نتونه تونل بسازه.

• لاگ‌ها رو توی /var/log/auth.log (روی Debian/Ubuntu) زیر نظر داشته باش تا سوء‌استفاده از تونل‌ها رو زودتر ببینی.


📚 منبع برای عمیق‌تر شدن

مستند رسمی OpenSSH توضیح کامل و به‌روز درباره Port Forwarding داره:
https://www.openssh.com/manual.html


🌱 یه بار روی یه سرور تست این تونل رو بساز، با خیال راحت بازی کن، لاگ‌ها رو نگاه کن و ببین چطور می‌شه سرویس‌های حساس رو بدون باز کردن Port روی اینترنت در دسترس نگه داشت. اگه خوشت اومد، این تکنیک رو توی محیط کاری‌ات هم پیشنهاد بده.

🔖 #Security #امنیت #ssh #tunneling #port_forwarding #linux #security #networking

👤 Developix

💎 Channel: @DevelopixNetwork