SSLH – общий порт для HTTPS, SSH и OpenVPN
SSLH упакован для большинства дистрибутивов Linux, поэтому вы можете установить его с помощью менеджеров пакетов по умолчанию.
apt install sslh tor
ip a
192.168.1.50
Во время установки SSLH вам будет предложено запустить sslh как службу из inetd или как отдельный сервер.
[--ssh <addr>] [--openvpn <addr>] [--tinc <addr>] [--xmpp <addr>] [--http <addr>] [--ssl <addr>] [--tls <addr>] [--anyprot <addr>]
Каждый выбор имеет свои преимущества.
При ограниченном количестве подключений в день, вероятно, лучше запустить sslh из inetd, чтобы сэкономить ресурсы.
С другой стороны, во многих соединениях sslh должен работать как отдельный сервер, чтобы не создавать новый процесс для каждого входящего соединения.
Настройте веб-серверы Apache или Nginx
Как вы уже знаете, веб-серверы Apache и Nginx будут прослушивать все сетевые интерфейсы (т. е. 0.0.0.0:443) по умолчанию.
Нам нужно изменить этот параметр, чтобы веб-сервер прослушивал только интерфейс localhost (т. е. 127.0.0.1:444 или localhost: 444).
Для этого отредактируйте файл конфигурации веб-сервера (nginx или apache) и найдите следующую строку:
listen 443 ssl;
И измените его на:
listen 127.0.0.1:444 ssl http2; set_real_ip_from 192.168.1.50;#чтобы в логах коректно отображались ip real_ip_header X-Forwarded-For; real_ip_recursive on;
VirtualHost 127.0.0.1:444
Сохраните и закройте файлы конфигурации. Не перезапускайте сервисы. Мы еще не закончили.
Настройка SSLH
Сделав веб-серверы прослушивающими только локальный интерфейс, отредактируйте файл конфигурации SSLH:
nano /etc/default/sslh
Найдите следующую строку:
Run=no
И измените ее на:
Run=yes
Затем прокрутите немного вниз и измените следующую строку, чтобы разрешить SSLH прослушивать порт 443 на всех доступных интерфейсах (например, 0.0.0.0:443).
DAEMON_OPTS="--user sslh --listen 0.0.0.0:443 --ssh 127.0.0.1:22 --tls 127.0.0.1:444 --pidfile /var/run/sslh/sslh.pid"
Где:
- –user sslh : требуется для запуска с указанным именем пользователя.
- –listen 0.0.0.0:443 : SSLH прослушивает порт 443 на всех доступных интерфейсах.
- –sshs 127.0.0.1:22 : маршрутизировать трафик SSH на порт 22 на локальном хосте.
- –ssl 127.0.0.1:444 : маршрутизировать трафик HTTPS / SSL на порт 443 на локальном хосте.
Сохраните и закройте файл.
Наконец, включите и запустите службу sslh, чтобы обновить изменения.
systemctl enable sslh
systemctl start sslh
Тестирование
Проверьте, слушает ли демон SSLH 443.
$ ps -ef | grep sslh
sslh 2746 1 0 15:51 ? 00:00:00 /usr/sbin/sslh --foreground --user sslh --listen 0.0.0.0 443 --ssh 127.0.0.1 22 --tls 127.0.0.1 444 --pidfile /var/run/sslh/sslh.pid
sslh 2747 2746 0 15:51 ? 00:00:00 /usr/sbin/sslh --foreground --user sslh --listen 0.0.0.0 443 --ssh 127.0.0.1 22 --tls 127.0.0.1 444 --pidfile /var/run/sslh/sslh.pid
sk 2754 1432 0 15:51 pts/0 00:00:00 grep --color=auto sslh
$ ssh -p 443 st@192.168.1.50
Добавить комментарий