Was ist ein SSH-Tunnel in SurveyAnalytica?

Eine SSH-Tunnel-Verbindung ermöglicht es SurveyAnalytica, sicher auf Ressourcen in Ihrem privaten Netzwerk zuzugreifen, indem ein verschlüsselter SSH-Tunnel über einen Jump-Server (auch als Bastion-Host bezeichnet) aufgebaut wird. Dies wird üblicherweise verwendet, wenn SurveyAnalytica eine Verbindung zu internen Datenbanken, APIs oder Diensten herstellen muss, die nicht direkt aus dem Internet erreichbar sind, aber von einem Server aus zugänglich sind, der SSH exponiert.

SSH-Tunnel sind eine leichtgewichtige Alternative zu VPN-Verbindungen und eignen sich gut für die Verbindung zu einzelnen Diensten, wie z. B. einer Datenbank auf einem bestimmten Host und Port.

Voraussetzungen

Bevor Sie eine SSH-Tunnel-Verbindung konfigurieren, stellen Sie sicher, dass Folgendes vorhanden ist:

• Ein Jump-Server (Bastion-Host) mit SSH-Zugriff, der über das Internet auf einem bekannten Port (in der Regel Port 22) erreichbar ist.
• Aktivierte Port-Weiterleitung auf dem Jump-Server. Die SSH-Serverkonfiguration (/etc/ssh/sshd_config) muss AllowTcpForwarding yes zulassen.
• Netzwerkkonnektivität vom Jump-Server zur internen Zielressource (z. B. eine Datenbank unter 10.0.1.50:5432).
• Ein Benutzerkonto auf dem Jump-Server, mit dem sich SurveyAnalytica authentifizieren kann.
• Administrativer Zugriff, um SSH-Public-Keys zum Jump-Server hinzuzufügen.

Schritt 1: Ein SSH-Schlüsselpaar generieren

SurveyAnalytica verwendet schlüsselbasierte Authentifizierung für SSH-Tunnel. Generieren Sie mit folgendem Befehl ein dediziertes Schlüsselpaar für diese Verbindung:

ssh-keygen -t ed25519 -C "surveyanalytica-tunnel"

Bei entsprechender Aufforderung:

• Speichern Sie den Schlüssel in einer Datei (z. B. ~/.ssh/surveyanalytica_tunnel).
• Legen Sie optional eine Passphrase fest (für automatisierte Verbindungen leer lassen).

Dadurch werden zwei Dateien erstellt:

• surveyanalytica_tunnel — Der private Schlüssel (diesen fügen Sie in SurveyAnalytica ein).
• surveyanalytica_tunnel.pub — Der öffentliche Schlüssel (diesen installieren Sie auf Ihrem Jump-Server).

Hinweis: Wir empfehlen Ed25519-Schlüssel aufgrund ihrer starken Sicherheit und kompakten Größe. RSA-Schlüssel (4096-Bit) werden ebenfalls unterstützt.

Schritt 2: Den Schlüssel auf dem Jump-Server autorisieren

Der öffentliche Schlüssel muss zu den autorisierten Schlüsseln auf Ihrem Jump-Server hinzugefügt werden. Sie können dazu ssh-copy-id verwenden:

ssh-copy-id -i ~/.ssh/surveyanalytica_tunnel.pub username@jump-server-host

Alternativ können Sie den öffentlichen Schlüssel manuell an die Datei mit den autorisierten Schlüsseln anhängen:

cat ~/.ssh/surveyanalytica_tunnel.pub | ssh username@jump-server-host "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

Oder, falls Sie direkten Zugriff auf den Server haben, öffnen Sie ~/.ssh/authorized_keys auf dem Jump-Server und fügen Sie den Inhalt der .pub-Datei in einer neuen Zeile ein.

Überprüfen Sie vor dem Fortfahren, ob der Schlüssel funktioniert:

ssh -i ~/.ssh/surveyanalytica_tunnel username@jump-server-host echo "Connection successful"

Schritt 3: Den SSH-Tunnel in SurveyAnalytica konfigurieren

Navigieren Sie in SurveyAnalytica zu Settings → Network Connections und klicken Sie auf Add Connection. Wählen Sie SSH Tunnel als Verbindungstyp aus.

Füllen Sie die folgenden Felder aus:

Jump-Server-Einstellungen

Feld	Beschreibung	Beispiel
Host	Der öffentliche Hostname oder die IP-Adresse Ihres Jump-Servers	bastion.example.com
Port	Der SSH-Port auf dem Jump-Server	22
Username	Das SSH-Benutzerkonto auf dem Jump-Server	sa-tunnel
Private Key	Fügen Sie den Inhalt der Datei mit dem privaten Schlüssel ein	Inhalt von surveyanalytica_tunnel

Einstellungen für den Zieldienst

Feld	Beschreibung	Beispiel
Remote Host	Der interne Hostname oder die IP der Zielressource (aus Sicht des Jump-Servers)	10.0.1.50
Remote Port	Der Port des Zieldienstes	5432

Klicken Sie auf Test Connection, um zu überprüfen, dass SurveyAnalytica den Tunnel aufbauen und den Zieldienst erreichen kann. Klicken Sie bei Erfolg auf Save.

So funktioniert es

Wenn eine Integration oder ein Workflow auf Ihre interne Ressource zugreifen muss, geht SurveyAnalytica wie folgt vor:

1. Öffnet eine SSH-Verbindung zu Ihrem Jump-Server mittels schlüsselbasierter Authentifizierung.
2. Baut einen verschlüsselten Tunnel (SSH-Port-Weiterleitung) von SurveyAnalytica zum Zielhost und -port über den Jump-Server auf.
3. Leitet den Integrationsverkehr durch diesen Tunnel, um den internen Dienst zu erreichen.
4. Schließt den Tunnel, sobald der Vorgang abgeschlossen ist.

Bewährte Sicherheitspraktiken

• Ein dediziertes Benutzerkonto verwenden: Erstellen Sie einen spezifischen Benutzer (z. B. sa-tunnel) auf dem Jump-Server für SurveyAnalytica. Verwenden Sie keine Root- oder gemeinsam genutzten Konten.
• Auf reine Port-Weiterleitung beschränken: Konfigurieren Sie den SSH-Benutzer so, dass nur Port-Weiterleitung erlaubt ist, nicht der interaktive Shell-Zugriff. Fügen Sie Folgendes in ~/.ssh/authorized_keys vor dem Schlüssel hinzu:

  no-pty,no-agent-forwarding,no-X11-forwarding,permitopen="10.0.1.50:5432" ssh-ed25519 AAAA... surveyanalytica-tunnel

  Dies beschränkt den Schlüssel darauf, Datenverkehr ausschließlich an den angegebenen Host und Port weiterzuleiten.

• Nur schlüsselbasierte Authentifizierung verwenden: Deaktivieren Sie die Passwortauthentifizierung für den Tunnel-Benutzer. Stellen Sie in /etc/ssh/sshd_config sicher, dass gilt:

  Match User sa-tunnel
      PasswordAuthentication no
      AllowTcpForwarding yes
      PermitTunnel no
      X11Forwarding no

• Schlüssel regelmäßig rotieren: Generieren Sie alle 180 Tage ein neues Schlüsselpaar und aktualisieren Sie sowohl SurveyAnalytica als auch den Jump-Server.
• Zugriff überwachen: Überprüfen Sie die SSH-Anmeldeprotokolle auf Ihrem Jump-Server regelmäßig auf unerwartete Zugriffsmuster.
• Quell-IPs einschränken: Falls Ihr Jump-Server dies unterstützt, beschränken Sie den SSH-Zugriff auf die Egress-IP-Bereiche von SurveyAnalytica (auf Anfrage beim Support erhältlich).

Fehlerbehebung

Verbindung abgelehnt

• Überprüfen Sie, ob Host und Port des Jump-Servers korrekt sind und der SSH-Dienst läuft.
• Prüfen Sie, ob Ihre Firewall eingehende SSH-Verbindungen von den IP-Bereichen von SurveyAnalytica zulässt.

Authentifizierung fehlgeschlagen

• Bestätigen Sie, dass der öffentliche Schlüssel zu ~/.ssh/authorized_keys auf dem Jump-Server hinzugefügt wurde.
• Überprüfen Sie, ob der in SurveyAnalytica eingefügte private Schlüssel zum öffentlichen Schlüssel auf dem Server passt.
• Überprüfen Sie die Dateiberechtigungen: ~/.ssh sollte 700 sein, authorized_keys sollte 600 sein.

Tunnel aufgebaut, aber Ziel nicht erreichbar

• Überprüfen Sie vom Jump-Server aus, ob Sie das Ziel erreichen können: nc -zv 10.0.1.50 5432.
• Prüfen Sie, ob AllowTcpForwarding in der SSH-Serverkonfiguration auf yes gesetzt ist.
• Stellen Sie sicher, dass die permitopen-Einschränkung (falls verwendet) den korrekten Zielhost und -port enthält.