如何用SSH Tunnel穿透防火牆或避免側錄？
相關連結：Tunnelier
相關連結：PuTTY Tray
相關連結：WinSSHD
還好以前有練過....這篇文章只是供學術研究交流參考喔！(←字幕組都嘛愛這樣說)
以下必備前提為一台在外網且可供遠端登入的SSH Server及一套建立並保持連線用的SSH Client，Server方面已經有現成UNIX主機的當然最方便，上頭連結中提到的WinSSHD是給Windows平台使用的，在此就不介紹安裝過程了，至於Client端可選用PuTTY Tray，功能與原本的PuTTY相同只是多了minimize to tray的功能，反正Tunnel建起來就讓他縮下去省得占空間嘛，當然您可能還需要Dynamic DNS服務來方便連線。
首先當然是設定SSH Client（在此以PieTTY為例），在 PieTTY 的設定頁中找到 Connections - SSH- Tunnels 的選項，如下圖所示有兩組設定分別供 HTTP Proxy 及 MSN 使用，設定好後再按下 Open建立連線、輸入帳號密碼，之後記得要一直開著 Client 端保持連線直到不再使用 Tunnel 為止。
先建立一組 Source port 為 8080（Local端重導用可自行挑選）、Destination 為 proxy.hinet.net:80、Local、Auto 的設定並按下Add，之後記得在瀏覽器中將代理伺服器（proxy）設定為 Localhost:8080（需與前述Source port相同），如此藉著這組 Tunnel 設定便可將 HTTP request 封裝重導從 SSH Server 送出，本地的 Router 便無從得知你所瀏覽的URL及頁面內容為何。
再來建立一組 Source port 為 1080、Destination 留空、Dynamic、Auto 的設定並按下Add，之後打開MSN Messenger 的設定頁面到連線 - 進階設定中將SOCKS設定為127.0.0.1 : 1080，如下圖所示，按下旁邊的測試若設定正確應該是可以順利通過的。
這時應該可以順利登入 MSN（如果 Router 原本有做 Packet filtering or Blacklist 的話)，我們可以在使用 MSN 的機器上利用 netstat 指令檢查是否有遠端為 port 1863 （messenger protocol）的連線，如果設定正常應該只有一條通往 SSH Server port 443 的連線才對，其他主連線或對話都會透過本機的 port 1080 進行轉發，如此一來即可穿過 Firewall 及避免 Sniffer 側錄（錄到也是加密過的封包）。同樣的我們也可以在SSH Server上檢查連線狀況，如下圖所示可以發現一條或多條連往遠端 Port 1863 的連線（超過一條代表有進行中的對話），這就是從 SSH Client 上被重導過來的 MSN 連線了，只要這兩步都確認完成，整個過程就沒有問題囉。
SSH Tunnel 就是新聞媒體上常說的"跳板"，為了避免被其他尋找跳板的攻擊者利用大量掃 Port 的方式找到並嘗試入侵，建議不要把 SSH Server 保持在預設的 Port 22 或其他泛用的 Port number，單純找跳板的攻擊者會優先掃特定網段的 Port 22 挑選候選人，不至於花時間對單一機器掃完所有 Port ....除非真的是衝著你來的，至於Server上可用的安全措施像禁用 root 登入或 iptables 等，就請參考其他教學或等我哪天心血來潮再寫了。
另外順便一提的是透過 SSH Tunnel 進行對話加密只限於自己到 MSN 訊息主機這段，MSN 訊息主機到對方這段則需視對方的連線方式而定，若對方是採用一般連線，被側錄一樣可以得知雙方的談話內容。而一般較多人使用的 Simp 加密工具則是需要雙方都安裝並交換金鑰後才會進行完整加密，只有單方安裝則整個對話過程都是完全明碼傳送（廢話，不然沒裝的那邊怎知如何解密？），願意配合安裝 Simp 的聯絡人畢竟是少數，使用 SSH Tunnel 至少可以讓自己用的心安。
tag :
