SurveyAnalytica में SSH Tunnel क्या है?

SSH tunnel कनेक्शन SurveyAnalytica को एक jump server (जिसे bastion host भी कहा जाता है) के माध्यम से एक एन्क्रिप्टेड SSH tunnel स्थापित करके आपके प्राइवेट नेटवर्क में मौजूद संसाधनों तक सुरक्षित रूप से पहुँचने की अनुमति देता है। इसका उपयोग आमतौर पर तब किया जाता है जब आपको SurveyAnalytica को ऐसे internal databases, API, या services से कनेक्ट करना होता है जो इंटरनेट से सीधे पहुँच योग्य नहीं हैं, लेकिन किसी ऐसे server से पहुँच योग्य हैं जिस पर SSH एक्सपोज़ किया गया है।

SSH tunnel, VPN कनेक्शन का एक हल्का विकल्प है और किसी विशिष्ट host और port पर मौजूद database जैसी individual services से कनेक्ट करने के लिए उपयुक्त है।

पूर्वापेक्षाएँ (Prerequisites)

SSH tunnel कनेक्शन कॉन्फ़िगर करने से पहले, सुनिश्चित करें कि आपके पास निम्नलिखित हैं:

• एक jump server (bastion host) जिसमें SSH एक्सेस हो और जो एक ज्ञात port (आमतौर पर port 22) पर इंटरनेट से पहुँच योग्य हो।
• jump server पर Port forwarding सक्षम हो। SSH server कॉन्फ़िगरेशन (/etc/ssh/sshd_config) में AllowTcpForwarding yes की अनुमति होनी चाहिए।
• jump server से target internal resource तक नेटवर्क कनेक्टिविटी (उदाहरण के लिए, 10.0.1.50:5432 पर एक database)।
• SurveyAnalytica को प्रमाणित करने के लिए jump server पर एक user account।
• jump server में SSH public keys जोड़ने के लिए प्रशासनिक एक्सेस।

चरण 1: SSH Key Pair जेनरेट करें

SurveyAnalytica, SSH tunnel के लिए key-based authentication का उपयोग करता है। निम्नलिखित कमांड का उपयोग करके इस कनेक्शन के लिए एक dedicated key pair जेनरेट करें:

ssh-keygen -t ed25519 -C "surveyanalytica-tunnel"

जब पूछा जाए:

• key को किसी फ़ाइल में सेव करें (उदाहरण के लिए, ~/.ssh/surveyanalytica_tunnel)।
• वैकल्पिक रूप से एक passphrase सेट करें (automated कनेक्शन के लिए खाली छोड़ें)।

इससे दो फ़ाइलें जेनरेट होती हैं:

• surveyanalytica_tunnel — private key (आप इसे SurveyAnalytica में पेस्ट करेंगे)।
• surveyanalytica_tunnel.pub — public key (आप इसे अपने jump server पर इंस्टॉल करेंगे)।

नोट: हम उनकी मज़बूत सुरक्षा और compact आकार के लिए Ed25519 keys की सिफ़ारिश करते हैं। RSA keys (4096-bit) भी समर्थित हैं।

चरण 2: Jump Server पर Key को अधिकृत करें

public key को आपके jump server पर authorized keys में जोड़ा जाना चाहिए। आप इसके लिए ssh-copy-id का उपयोग कर सकते हैं:

ssh-copy-id -i ~/.ssh/surveyanalytica_tunnel.pub username@jump-server-host

वैकल्पिक रूप से, public key को authorized keys फ़ाइल में मैन्युअल रूप से जोड़ें:

cat ~/.ssh/surveyanalytica_tunnel.pub | ssh username@jump-server-host "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

या, यदि आपके पास server तक सीधी पहुँच है, तो jump server पर ~/.ssh/authorized_keys खोलें और .pub फ़ाइल की सामग्री को एक नई लाइन में पेस्ट करें।

आगे बढ़ने से पहले सुनिश्चित करें कि key काम कर रही है:

ssh -i ~/.ssh/surveyanalytica_tunnel username@jump-server-host echo "Connection successful"

चरण 3: SurveyAnalytica में SSH Tunnel कॉन्फ़िगर करें

SurveyAnalytica में, Settings → Network Connections पर जाएँ और Add Connection पर क्लिक करें। कनेक्शन प्रकार के रूप में SSH Tunnel चुनें।

निम्नलिखित फ़ील्ड भरें:

Jump Server सेटिंग्स

फ़ील्ड	विवरण	उदाहरण
Host	आपके jump server का सार्वजनिक hostname या IP पता	bastion.example.com
Port	jump server पर SSH port	22
Username	jump server पर SSH user account	sa-tunnel
Private Key	private key फ़ाइल की सामग्री पेस्ट करें	surveyanalytica_tunnel की सामग्री

Target Service सेटिंग्स

फ़ील्ड	विवरण	उदाहरण
Remote Host	target resource का internal hostname या IP (jump server से देखा गया)	10.0.1.50
Remote Port	target service का port	5432

यह सत्यापित करने के लिए कि SurveyAnalytica tunnel स्थापित कर सकता है और target service तक पहुँच सकता है, Test Connection पर क्लिक करें। सफल होने पर, Save पर क्लिक करें।

यह कैसे काम करता है

जब किसी integration या workflow को आपके internal resource तक पहुँचने की आवश्यकता होती है, तो SurveyAnalytica:

1. key-based authentication का उपयोग करके आपके jump server से एक SSH कनेक्शन खोलता है।
2. jump server के माध्यम से SurveyAnalytica से target host और port तक एक एन्क्रिप्टेड tunnel (SSH port forwarding) स्थापित करता है।
3. internal service तक पहुँचने के लिए integration ट्रैफ़िक को इस tunnel के माध्यम से रूट करता है।
4. ऑपरेशन पूरा होने पर tunnel को बंद कर देता है।

सुरक्षा की सर्वोत्तम प्रथाएँ (Security Best Practices)

• एक dedicated user account का उपयोग करें: SurveyAnalytica के लिए jump server पर एक विशिष्ट user (उदाहरण के लिए, sa-tunnel) बनाएँ। root या shared accounts का उपयोग न करें।
• केवल port forwarding तक सीमित रखें: SSH user को केवल port forwarding की अनुमति देने के लिए कॉन्फ़िगर करें, interactive shell access की नहीं। key से पहले ~/.ssh/authorized_keys में निम्नलिखित जोड़ें:

  no-pty,no-agent-forwarding,no-X11-forwarding,permitopen="10.0.1.50:5432" ssh-ed25519 AAAA... surveyanalytica-tunnel

  यह key को केवल निर्दिष्ट host और port पर ट्रैफ़िक forward करने तक सीमित करता है।

• केवल key-based authentication का उपयोग करें: tunnel user के लिए password authentication अक्षम करें। /etc/ssh/sshd_config में, सुनिश्चित करें:

  Match User sa-tunnel
      PasswordAuthentication no
      AllowTcpForwarding yes
      PermitTunnel no
      X11Forwarding no

• keys को समय-समय पर rotate करें: हर 180 दिनों में एक नया key pair जेनरेट करें और SurveyAnalytica तथा jump server दोनों को अपडेट करें।
• एक्सेस की निगरानी करें: अप्रत्याशित एक्सेस पैटर्न के लिए अपने jump server पर SSH login logs की नियमित रूप से समीक्षा करें।
• स्रोत IP सीमित करें: यदि आपका jump server इसका समर्थन करता है, तो SSH एक्सेस को SurveyAnalytica की egress IP श्रेणियों (support से अनुरोध पर उपलब्ध) तक सीमित करें।

समस्या निवारण (Troubleshooting)

Connection Refused

• सत्यापित करें कि jump server host और port सही हैं और SSH service चल रही है।
• जाँचें कि आपका firewall SurveyAnalytica की IP श्रेणियों से inbound SSH कनेक्शन की अनुमति देता है।

Authentication Failed

• पुष्टि करें कि public key को jump server पर ~/.ssh/authorized_keys में जोड़ा गया है।
• सत्यापित करें कि SurveyAnalytica में पेस्ट की गई private key server पर मौजूद public key से मेल खाती है।
• फ़ाइल अनुमतियाँ जाँचें: ~/.ssh 700 होनी चाहिए, authorized_keys 600 होनी चाहिए।

Tunnel स्थापित लेकिन Target अनुपलब्ध

• jump server से, सत्यापित करें कि आप target तक पहुँच सकते हैं: nc -zv 10.0.1.50 5432.
• जाँचें कि SSH server कॉन्फ़िगरेशन में AllowTcpForwarding, yes पर सेट है।
• सुनिश्चित करें कि permitopen प्रतिबंध (यदि उपयोग किया गया है) में सही target host और port शामिल है।