Túneis SSH: encaminhamento de portas local, remoto e dinâmico

O que é

O manual do ssh(1) descreve três modos de encaminhamento. -L [bind_address:]port:host:hostport escuta numa porta local e encaminha cada conexão pelo canal seguro até host:hostport, tal como acessível a partir da máquina remota (encaminhamento local). -R [bind_address:]port:host:hostport escuta no host remoto e encaminha as conexões de volta a um destino acessível a partir do cliente (encaminhamento remoto); se for indicada apenas uma porta, o cliente atua como proxy SOCKS para o lado remoto. -D [bind_address:]port abre um proxy SOCKS4/5 local, cujo destino é decidido a cada conexão (encaminhamento dinâmico). -J destination conecta primeiro por um jump host, um atalho para ProxyJump. -N não executa nenhum comando remoto, o que, segundo o manual, é útil para apenas encaminhar portas. Sockets Unix também podem ser encaminhados. O lado que escuta é vinculado conforme GatewayPorts; um bind_address igual a localhost mantém a porta local, enquanto * a abre em todas as interfaces.

Por que importa

Os túneis dão acesso a bancos de dados, interfaces de administração e APIs internas que, de propósito, não estão expostos, sem abrir portas no firewall e usando as mesmas chaves e os mesmos logs do SSH interativo. O mesmo mecanismo faz com que um túnel mal vinculado possa publicar um serviço interno na rede.

Como aplicar

• Acessar um banco de dados numa rede privada: ssh -N -L 5433:db.internal:5432 bastion e, depois, conectar a localhost:5433.
• Mostrar um servidor de desenvolvimento local a uma máquina remota: ssh -N -R 8080:localhost:3000 host. No servidor, GatewayPorts no sshd_config decide se outros hosts podem se conectar a essa porta; por padrão, os encaminhamentos remotos são vinculados ao loopback.
• Navegar pela rede remota: ssh -N -D 1080 host e apontar o cliente para o proxy SOCKS.
• Passar por um bastion: ssh -J bastion target, ou ProxyJump em ~/.ssh/config; mantenha ali os encaminhamentos como LocalForward e RemoteForward para que sejam reproduzíveis.
• Defina ExitOnForwardFailure yes para que o ssh termine quando um encaminhamento pedido não puder ser vinculado, em vez de continuar sem ele; adicione ServerAliveInterval para que uma conexão morta seja detectada.
• Em servidores, restrinja o encaminhamento com AllowTcpForwarding (no, local ou remote) nas contas que não precisam dele.

Armadilhas

Um encaminhamento que "funciona" pode pertencer a um processo ssh mais antigo que ainda mantém a porta; verifique os listeners com ss -ltnp. Só o superusuário pode encaminhar portas privilegiadas. -R não abre o firewall remoto. ExitOnForwardFailure cobre apenas a configuração do listener, não as falhas ao alcançar o destino final. Os túneis contornam a política de rede por natureza, por isso documente todos os que ficam permanentes.