Использование обратного туннеля для доступа к URL, недоступному напрямую

У меня есть следующая сеть:

 ___________          ___________          ===========================
|   HostA   |        |   HostB   |        || www.internetservice.com ||
|-----------| <===== |-----------| =====> ||=========================||
|10.11.12.13|        |66.77.88.99|        ||    151.141.12.10:123    ||
|___________|        |___________|         ===========================

• HostB может получить доступ к HostA (например, ping 10.11.12.13 выполняется успешно)
• HostB может получить доступ к www.internetservice.com на 151.141.12.10:123 (например, telnet www.internetservice.com 123 и telnet 151.141.12.10 123 выполняются успешно)
• HostA не может получить доступ к HostB (например, ping 66.77.88.99 завершается неудачей)
• и, конечно, HostA не может получить доступ к www.internetservice.com на 151.141.12.10:123 (telnet www.internetservice.com 123 и telnet 151.141.12.10 123 тоже не выполняются)

Конечно, я хочу сделать так, чтобы Интернет на 151.141.12.10:123 был доступен с HostA!

У меня уже есть решение, но оно меня не совсем устраивает; я хотел бы, чтобы оно было лучше. Моё решение заключается в создании с HostB обратного SSH-туннеля на HostA к Интернет-сервису:

myuserB@HostB:~ ssh -N  -R 123:www.internetservice.com:123 myuserA@HostA

Таким образом, myuserA на HostA может открыть соединение с www.internetservice.com:123, запустив:

myuserA@HostA:~ telnet localhost 123

Это работает хорошо; почти идеально… за исключением того, что я предпочел бы выполнить

myuserA@HostA:~ telnet www.internetservice.com 123

или хотя бы

myuserA@HostA:~ telnet 151.141.12.10 123

Чтобы добиться того, что я хочу, я пытался (без успеха) инициализировать SSH-туннель, запустив

myuserB@HostB:~ ssh -N  -R www.internetservice.com:123:www.internetservice.com:123 myuserA@HostA

Я также пытался

myuserB@HostB:~ ssh -N  -R 151.141.12.10:123:151.141.12.10:123 myuserA@HostA

но при этом я не могу выполнить telnet ни на www.internetservice.com:123, ни на 151.141.12.10 123 с HostA

Какие-нибудь идеи, что мне следует сделать?

Прямые туннели OpenSSH могут слушать соединения только на машине, на которой они работают – они не могут автоматически перехватывать соединения, сделанные на внешние адреса. Однако есть несколько вариантов:

• Измените файл /etc/hosts на HostA, чтобы перенастроить www.internetservice.com на адрес 127.0.0.1.

  127.0.0.1 localhost
  127.0.0.1 internetservice.com
  127.0.0.1 www.internetservice.com
  

  (Смотрите man hosts. Это повлияет на большинство программ, кроме dig/host/nslookup.)

• Используйте iptables на HostA, чтобы создать правило REDIRECT, которое перехватывает все соединения, сделанные к 151.141.12.10:123, и перенаправляет их на 127.0.0.1:123 вместо. (Это также может изменить номер порта, если нужно.)

  iptables -t nat -I OUTPUT \
      -d 151.141.12.10 -p tcp --dport 123 \
      -j REDIRECT --to-ports 123
  

  (Смотрите man iptables-extensions. Цель REDIRECT по сути такая же, как DNAT, только с 127.0.0.1, предполагаемым в качестве нового адреса назначения.)

• Вместо ‘простой’ туннель, используйте -R 1234, чтобы создать динамический туннель – указанный порт на удаленной стороне станет слушателем SOCKS-прокси, затем вы можете настроить ваш веб-браузер на использование SOCKS-прокси на 127.0.0.1:1234, и он будет туннелировать всё (включая посещения http://www.internetservice.com через SSH-соединение).

  Это работает лучше всего с браузерами, но есть инструменты “обертки SOCKS”, которые заставляют другие программы подключаться к SOCKS-прокси.

  “Локальный” эквивалент – -D 1234 (не -L).