Help

Qu’est-ce qu’un tunnel SSH dans SurveyAnalytica ?

Une connexion par tunnel SSH permet à SurveyAnalytica d’accéder de manière sécurisée aux ressources de votre réseau privé en établissant un tunnel SSH chiffré via un serveur relais (également appelé bastion host). Cela est couramment utilisé lorsque vous avez besoin que SurveyAnalytica se connecte à des bases de données internes, des API ou des services qui ne sont pas directement accessibles depuis Internet, mais qui sont accessibles depuis un serveur exposant SSH.

Les tunnels SSH constituent une alternative légère aux connexions VPN et conviennent bien pour se connecter à des services individuels, comme une base de données sur un hôte et un port spécifiques.

Prérequis

Avant de configurer une connexion par tunnel SSH, assurez-vous de disposer des éléments suivants :

Un serveur relais (bastion host) avec accès SSH, accessible depuis Internet sur un port connu (généralement le port 22).
La redirection de port activée sur le serveur relais. La configuration du serveur SSH (/etc/ssh/sshd_config) doit autoriser AllowTcpForwarding yes.
Une connectivité réseau entre le serveur relais et la ressource interne cible (par exemple, une base de données à 10.0.1.50:5432).
Un compte utilisateur sur le serveur relais permettant à SurveyAnalytica de s’authentifier.
Un accès administrateur pour ajouter des clés publiques SSH au serveur relais.

Étape 1 : Générer une paire de clés SSH

SurveyAnalytica utilise une authentification par clé pour les tunnels SSH. Générez une paire de clés dédiée pour cette connexion à l’aide de la commande suivante :

ssh-keygen -t ed25519 -C "surveyanalytica-tunnel"

Lorsque vous y êtes invité :

Enregistrez la clé dans un fichier (par exemple, ~/.ssh/surveyanalytica_tunnel).
Définissez éventuellement une phrase secrète (laissez vide pour les connexions automatisées).

Cela génère deux fichiers :

surveyanalytica_tunnel — La clé privée (vous la collerez dans SurveyAnalytica).
surveyanalytica_tunnel.pub — La clé publique (vous l’installerez sur votre serveur relais).

Remarque : Nous recommandons les clés Ed25519 pour leur sécurité robuste et leur taille compacte. Les clés RSA (4096 bits) sont également prises en charge.

Étape 2 : Autoriser la clé sur le serveur relais

La clé publique doit être ajoutée aux clés autorisées sur votre serveur relais. Vous pouvez le faire à l’aide de ssh-copy-id :

ssh-copy-id -i ~/.ssh/surveyanalytica_tunnel.pub username@jump-server-host

Vous pouvez également ajouter manuellement la clé publique au fichier des clés autorisées :

cat ~/.ssh/surveyanalytica_tunnel.pub | ssh username@jump-server-host "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

Ou, si vous avez un accès direct au serveur, ouvrez ~/.ssh/authorized_keys sur le serveur relais et collez le contenu du fichier .pub sur une nouvelle ligne.

Vérifiez que la clé fonctionne avant de continuer :

ssh -i ~/.ssh/surveyanalytica_tunnel username@jump-server-host echo "Connection successful"

Étape 3 : Configurer le tunnel SSH dans SurveyAnalytica

Dans SurveyAnalytica, accédez à Paramètres → Connexions réseau et cliquez sur Ajouter une connexion. Sélectionnez Tunnel SSH comme type de connexion.

Renseignez les champs suivants :

Paramètres du serveur relais

Champ	Description	Exemple
Hôte	Le nom d’hôte public ou l’adresse IP de votre serveur relais	`bastion.example.com`
Port	Le port SSH du serveur relais	`22`
Nom d’utilisateur	Le compte utilisateur SSH sur le serveur relais	`sa-tunnel`
Clé privée	Collez le contenu du fichier de clé privée	Contenu de `surveyanalytica_tunnel`

Paramètres du service cible

Champ	Description	Exemple
Hôte distant	Le nom d’hôte interne ou l’IP de la ressource cible (tel que vu depuis le serveur relais)	`10.0.1.50`
Port distant	Le port du service cible	`5432`

Cliquez sur Tester la connexion pour vérifier que SurveyAnalytica peut établir le tunnel et atteindre le service cible. En cas de succès, cliquez sur Enregistrer.

Fonctionnement

Lorsqu’une intégration ou un workflow doit atteindre votre ressource interne, SurveyAnalytica :

Ouvre une connexion SSH vers votre serveur relais à l’aide d’une authentification par clé.
Établit un tunnel chiffré (redirection de port SSH) entre SurveyAnalytica et l’hôte et le port cibles via le serveur relais.
Achemine le trafic d’intégration à travers ce tunnel pour atteindre le service interne.
Ferme le tunnel une fois l’opération terminée.

Bonnes pratiques de sécurité

Utilisez un compte utilisateur dédié : Créez un utilisateur spécifique (par exemple, sa-tunnel) sur le serveur relais pour SurveyAnalytica. N’utilisez pas root ni de comptes partagés.
Limitez à la redirection de port uniquement : Configurez l’utilisateur SSH pour n’autoriser que la redirection de port, et non l’accès à un shell interactif. Ajoutez la ligne suivante à ~/.ssh/authorized_keys avant la clé :
```
no-pty,no-agent-forwarding,no-X11-forwarding,permitopen="10.0.1.50:5432" ssh-ed25519 AAAA... surveyanalytica-tunnel
```
Cela limite la clé à la redirection du trafic uniquement vers l’hôte et le port spécifiés.
Utilisez uniquement l’authentification par clé : Désactivez l’authentification par mot de passe pour l’utilisateur du tunnel. Dans /etc/ssh/sshd_config, assurez-vous que :
```
Match User sa-tunnel
    PasswordAuthentication no
    AllowTcpForwarding yes
    PermitTunnel no
    X11Forwarding no
```
Faites pivoter les clés régulièrement : Générez une nouvelle paire de clés et mettez à jour SurveyAnalytica ainsi que le serveur relais tous les 180 jours.
Surveillez les accès : Consultez régulièrement les journaux de connexion SSH sur votre serveur relais pour détecter des schémas d’accès inhabituels.
Limitez les IP source : Si votre serveur relais le permet, limitez l’accès SSH aux plages d’IP de sortie de SurveyAnalytica’s (disponibles sur demande auprès du support).

Dépannage

Connexion refusée

Vérifiez que l’hôte et le port du serveur relais sont corrects et que le service SSH est en cours d’exécution.
Vérifiez que votre pare-feu autorise les connexions SSH entrantes depuis les plages d’IP de SurveyAnalytica’s.

Échec de l’authentification

Confirmez que la clé publique a bien été ajoutée à ~/.ssh/authorized_keys sur le serveur relais.
Vérifiez que la clé privée collée dans SurveyAnalytica correspond à la clé publique sur le serveur.
Vérifiez les permissions des fichiers : ~/.ssh doit être 700, authorized_keys doit être 600.

Tunnel établi mais cible inaccessible

Depuis le serveur relais, vérifiez que vous pouvez atteindre la cible : nc -zv 10.0.1.50 5432.
Vérifiez que AllowTcpForwarding est défini sur yes dans la configuration du serveur SSH.
Assurez-vous que la restriction permitopen (si utilisée) inclut le bon hôte et port cibles.

We use cookies