SSH-туннель как VPN: настройка, возможности и ограничения

Что такое SSH-туннель и чем он отличается от VPN

SSH (Secure Shell) — это протокол для безопасного удалённого управления серверами и передачи данных. Однако его возможности выходят далеко за рамки простого входа в терминал. SSH-туннелирование позволяет перенаправлять сетевой трафик приложений через зашифрованное соединение с удалённым компьютером. По сути, это создание защищённого канала между вашим устройством и SSH-сервером, внутри которого могут передаваться данные любых TCP-приложений.

Классический VPN (Virtual Private Network) — это технология, которая создаёт виртуальную сеть поверх существующей, обычно с шифрованием всего трафика устройства. Разница между SSH-туннелем и VPN заключается в уровне интеграции: VPN работает на сетевом уровне и перехватывает весь трафик операционной системы, тогда как SSH-туннель чаще всего привязан к конкретным портам или приложениям. Однако существуют способы поднять полноценный VPN поверх SSH, используя встроенные возможности OpenSSH или дополнительные утилиты.

Важно понимать, что SSH-туннель — это не всегда полноценная замена VPN. Он отлично подходит для решения точечных задач: защита трафика одного приложения, обход блокировок, доступ к внутренним ресурсам. Но если вам нужно скрыть весь интернет-трафик устройства, потребуется дополнительная настройка, например, создание TUN-интерфейса или использование PPP.

В этой статье мы рассмотрим несколько способов организации VPN через SSH, их преимущества и ограничения, а также дадим практические рекомендации по настройке.

Зачем использовать SSH-туннель вместо обычного VPN

Существует несколько причин, по которым пользователи выбирают SSH-туннелирование вместо покупки VPN-подписки или настройки OpenVPN.

Бесплатность и доступность. Если у вас есть SSH-доступ к любому серверу с выходом в интернет (например, арендованному VPS или домашнему компьютеру), вы можете организовать VPN без дополнительных затрат. Это особенно актуально для тех, кто уже использует SSH для администрирования серверов.

Простота настройки. Для базового туннелирования портов достаточно одной команды ssh -L. Не нужно устанавливать дополнительное ПО, настраивать сертификаты или конфигурационные файлы VPN-сервера. Всё, что требуется — SSH-клиент и SSH-сервер.

Шифрование трафика. SSH использует надёжное шифрование, поэтому данные, передаваемые через туннель, защищены от перехвата. Это особенно полезно при использовании публичных Wi-Fi сетей, где злоумышленники могут легко прослушивать трафик.

Обход блокировок. SSH-туннели часто используются для доступа к заблокированным сайтам и сервисам. Поскольку трафик выглядит как обычное SSH-соединение, его сложнее обнаружить и заблокировать, чем трафик классических VPN-протоколов.

Однако у этого подхода есть и недостатки. SSH-туннель не всегда обеспечивает такой же уровень анонимности, как специализированные VPN-сервисы, и может быть медленнее из-за дополнительных накладных расходов на шифрование. Кроме того, для полноценного VPN требуется настройка TUN/TAP или PPP, что усложняет конфигурацию.

Базовые способы туннелирования: локальный, удалённый и динамический проброс портов

Прежде чем переходить к полноценному VPN, полезно разобраться с базовыми возможностями SSH-туннелирования. OpenSSH поддерживает три типа проброса портов: локальный, удалённый и динамический.

Локальный проброс портов (-L) позволяет перенаправить трафик с локального порта на удалённый сервер. Например, команда ssh -L 8080:example.com:80 user@server создаст туннель, через который запросы к localhost:8080 будут передаваться на example.com:80 через SSH-сервер. Это удобно для доступа к веб-интерфейсам внутренних сервисов.

Удалённый проброс портов (-R) работает в обратную сторону: трафик с удалённого порта перенаправляется на локальный компьютер. Это может быть полезно для предоставления доступа к вашему локальному серверу извне.

Динамический проброс портов (-D) создаёт SOCKS-прокси на локальном порту. Все приложения, настроенные на использование этого прокси, будут отправлять трафик через SSH-туннель. Например, команда ssh -D 1080 user@server создаст SOCKS5-прокси на порту 1080. Этот метод часто используется для обхода блокировок, так как позволяет туннелировать трафик любого приложения без необходимости настраивать каждый порт отдельно.

Эти методы не являются полноценным VPN, но они покрывают большинство повседневных задач. Если же вам нужно туннелировать весь трафик системы, переходите к следующим разделам.

Полноценный VPN через SSH: метод TUN/TAP

OpenSSH имеет встроенную поддержку создания виртуальных сетевых интерфейсов TUN (уровень 3, IP-пакеты) и TAP (уровень 2, Ethernet-кадры). Это позволяет поднять полноценный VPN, который будет маршрутизировать весь трафик устройства.

Для этого необходимо выполнить несколько условий:

1. На SSH-сервере в файле /etc/ssh/sshd_config должна быть включена опция PermitTunnel. Она может принимать значения yes, point-to-point или ethernet. После изменения конфигурации нужно перезапустить службу SSH.
2. У вас должны быть права root на обеих машинах, так как создание TUN-интерфейсов требует привилегий.
3. Необходимо настроить IP-адреса и маршрутизацию на созданных интерфейсах.

Пример команды для создания TUN-туннеля:

ssh -f -w 5:5 user@server -o PermitLocalCommand=yes -o LocalCommand="sudo ifconfig tun5 192.168.244.2 pointopoint 192.168.244.1 netmask 255.255.255.0" 'sudo ifconfig tun5 192.168.244.1 pointopoint 192.168.244.2 netmask 255.255.255.0; echo tun0 ready'

Здесь -w 5:5 указывает, что на локальной и удалённой машинах будут созданы интерфейсы tun5. После установления соединения нужно настроить маршрутизацию, чтобы трафик шёл через туннель. Обычно добавляют маршрут к SSH-серверу через обычный шлюз, а затем меняют маршрут по умолчанию на адрес туннельного интерфейса.

Важно помнить, что при маршрутизации всего трафика через туннель нужно избегать зацикливания: маршрут к самому SSH-серверу должен идти напрямую, иначе соединение оборвётся.

VPN через SSH с использованием PPP

Другой способ поднять VPN поверх SSH — использовать протокол PPP (Point-to-Point Protocol). Этот метод описан в ArchWiki и заключается в запуске pppd через SSH-соединение.

Пример команды:

pppd updetach noauth silent nodeflate pty "/usr/bin/ssh root@remote-gw /usr/sbin/pppd nodetach notty noauth" ipparam vpn 10.0.8.1:10.0.8.2

Эта команда устанавливает PPP-соединение между локальной машиной и удалённым шлюзом через SSH. После установления соединения на локальной машине появится интерфейс ppp0 с адресом 10.0.8.1, а на удалённой — 10.0.8.2.

Затем можно настроить маршрутизацию. Чтобы получить доступ к внутренней сети за удалённым шлюзом, добавьте маршрут:

ip route add 192.168.0.0/16 via 10.0.8.2

Если нужно направить весь интернет-трафик через туннель, сначала добавьте маршрут к SSH-серверу через обычный шлюз, а затем замените маршрут по умолчанию:

ip route add remote-gw via
ip route replace default via 10.0.8.2

PPP-метод проще в настройке, чем TUN/TAP, но имеет ограничение: PPP работает на канальном уровне и не поддерживает broadcast, что может быть проблемой для некоторых приложений. Тем не менее, для большинства задач он вполне подходит.

Использование tun2socks для превращения SOCKS-прокси в VPN

Ещё один интересный подход — использовать SSH-динамический прокси (SOCKS) в сочетании с утилитой tun2socks, которая перенаправляет трафик из виртуального TUN-интерфейса в SOCKS-прокси. Этот метод описан в ArchWiki и позволяет получить полноценный VPN без необходимости настройки TUN на стороне сервера.

Шаги:

1. Запустите SSH-динамический прокси:

   ssh -TND 4711 user@server

1. Создайте TUN-интерфейс на локальной машине:

   ip tuntap add dev tun0 mode tun user <local_user>
   ip addr replace 10.0.0.1/24 dev tun0

1. Запустите tun2socks:

   badvpn-tun2socks --tundev tun0 --netif-ipaddr 10.0.0.2 --netif-netmask 255.255.255.0 --socks-server-addr localhost:4711

1. Настройте маршрутизацию: добавьте маршрут к SSH-серверу через обычный шлюз, маршрут к DNS-серверу (так как tun2socks не поддерживает UDP), и новый маршрут по умолчанию через TUN-интерфейс.

Обратите внимание, что проект badvpn был прекращён в августе 2022 года, но существует Go-реализация tun2socks в AUR. Этот метод может быть полезен, если у вас нет прав root на сервере, но есть возможность запустить SSH-прокси.

Настройка SSH-сервера для туннелирования: ключевые параметры

Чтобы SSH-сервер разрешал создание туннелей, необходимо правильно настроить файл /etc/ssh/sshd_config. Вот основные параметры:

• PermitTunnel — разрешает создание TUN/TAP интерфейсов. Значение yes разрешает оба типа, point-to-point — только TUN, ethernet — только TAP.
• AllowTCPForwarding — разрешает проброс TCP-портов. Для туннелирования обычно устанавливается в yes.
• PermitRootLogin — для создания TUN-интерфейсов часто требуется root-доступ. Рекомендуется использовать prohibit-password, чтобы разрешить вход по ключу, но запретить по паролю.

После изменения конфигурации перезапустите SSH-сервер:

systemctl restart sshd

Также важно настроить файрвол, чтобы разрешить трафик на TUN-интерфейсах и не блокировать SSH-соединения.

Если вы используете NetworkManager, для удобства можно установить плагин network-manager-ssh, который позволяет создавать SSH-VPN-соединения через графический интерфейс. Однако этот плагин требует root-доступа и может иметь ограничения, поэтому ручная настройка часто оказывается более гибкой.

Практические сценарии использования SSH-VPN

SSH-VPN может быть полезен в различных ситуациях:

Безопасный доступ к рабочей сети из кафе. Если вы находитесь в общественном месте и хотите поработать с внутренними ресурсами компании, SSH-туннель обеспечит шифрование трафика и доступ к серверам, которые не выставлены в интернет. Например, можно подключиться к сетевому принтеру или базе данных.

Обход географических блокировок. Если вы находитесь в стране, где заблокирован доступ к определённым сайтам, вы можете подключиться к SSH-серверу в другой стране и получить доступ к контенту, как если бы вы находились там. Это работает для стриминговых сервисов, новостных сайтов и т.д.

Защита от перехвата в публичных Wi-Fi. Используя SSH-туннель, вы шифруете весь трафик, что предотвращает перехват паролей и личных данных злоумышленниками в той же сети.

Доступ к домашним устройствам из любой точки мира. Если у вас дома есть SSH-сервер, вы можете организовать VPN-туннель и получить доступ к файлам, камерам или другим устройствам в домашней сети.

Тестирование и разработка. Разработчики часто используют SSH-туннели для доступа к базам данных и внутренним сервисам на удалённых серверах, не открывая лишние порты в интернет.

Ограничения и риски SSH-VPN

Несмотря на все преимущества, SSH-VPN имеет ряд ограничений, о которых стоит знать:

Производительность. SSH-шифрование добавляет накладные расходы, что может снизить скорость соединения. Для большинства задач это незаметно, но для потокового видео или онлайн-игр может быть критично.

Нет поддержки UDP. Базовый SSH-туннель работает только с TCP-трафиком. Это означает, что DNS-запросы и другие UDP-сервисы не будут туннелироваться, если не использовать специальные решения (например, tun2socks с отдельной настройкой DNS).

Не является анонимным. SSH-туннель скрывает ваш IP-адрес от конечного сервера, но сам SSH-сервер видит весь ваш трафик. Если вы используете публичный SSH-сервер, его владелец может логировать ваши действия.

Сложность настройки. Для полноценного VPN требуется настройка TUN/TAP или PPP, что может быть сложно для неопытных пользователей. Ошибки в маршрутизации могут привести к потере соединения.

Безопасность ключей. Если вы используете ключи для аутентификации, необходимо обеспечить их надёжное хранение. Компрометация ключа даст злоумышленнику доступ к вашему туннелю.

Ограничения на стороне сервера. Некоторые SSH-серверы могут запрещать туннелирование или ограничивать количество одновременных соединений. Публичные сервисы, такие как OpenTunnel, часто имеют ограничения по времени и трафику.

Сравнение SSH-VPN с коммерческими VPN-сервисами

Когда стоит выбрать SSH-VPN, а когда — коммерческий VPN? Рассмотрим основные критерии.

Стоимость. SSH-VPN бесплатен, если у вас уже есть SSH-доступ к серверу. Коммерческие VPN-сервисы требуют ежемесячной платы, но предлагают больше функций и удобство.

Скорость и стабильность. Коммерческие VPN-провайдеры обычно имеют оптимизированную инфраструктуру и больше серверов, что обеспечивает более высокую скорость и стабильность. SSH-VPN зависит от качества вашего сервера и канала.

Простота использования. Коммерческие VPN-сервисы предлагают готовые приложения для всех платформ с одним кликом. SSH-VPN требует ручной настройки и технических знаний.

Анонимность. Коммерческие VPN-сервисы, особенно с политикой отсутствия логов, могут обеспечить более высокий уровень анонимности. SSH-сервер, особенно публичный, может вести логи.

Поддержка протоколов. Коммерческие VPN поддерживают различные протоколы (OpenVPN, WireGuard, IKEv2), которые могут быть быстрее и надёжнее SSH. SSH-VPN ограничен возможностями SSH.

Обход блокировок. SSH-трафик часто сложнее заблокировать, чем трафик известных VPN-протоколов, поэтому SSH-VPN может быть эффективнее в странах с жёсткой цензурой. Однако некоторые провайдеры могут блокировать SSH-порты.

В итоге, выбор зависит от ваших задач. Если вам нужен быстрый и бесплатный способ защитить трафик одного приложения — SSH-туннель отлично подойдёт. Если вы хотите скрыть весь интернет-трафик на всех устройствах с минимальными усилиями — лучше рассмотреть коммерческий VPN.

Вопросы и ответы