Cos’è un tunnel SSH in SurveyAnalytica?

Una connessione tunnel SSH consente a SurveyAnalytica di accedere in modo sicuro alle risorse della tua rete privata stabilendo un tunnel SSH crittografato attraverso un jump server (noto anche come bastion host). Questo metodo è comunemente utilizzato quando è necessario che SurveyAnalytica si connetta a database interni, API o servizi non direttamente raggiungibili da internet, ma accessibili da un server che espone SSH.

I tunnel SSH sono un’alternativa leggera alle connessioni VPN e sono particolarmente adatti per connettersi a singoli servizi, come un database su un host e una porta specifici.

Prerequisiti

Prima di configurare una connessione tunnel SSH, assicurati di disporre di quanto segue:

• Un jump server (bastion host) con accesso SSH raggiungibile da internet su una porta nota (in genere la porta 22).
• Port forwarding abilitato sul jump server. La configurazione del server SSH (/etc/ssh/sshd_config) deve consentire AllowTcpForwarding yes.
• Connettività di rete dal jump server alla risorsa interna di destinazione (ad es., un database su 10.0.1.50:5432).
• Un account utente sul jump server con cui SurveyAnalytica possa autenticarsi.
• Accesso amministrativo per aggiungere chiavi pubbliche SSH al jump server.

Passaggio 1: genera una coppia di chiavi SSH

SurveyAnalytica utilizza l’autenticazione basata su chiavi per i tunnel SSH. Genera una coppia di chiavi dedicata per questa connessione utilizzando il seguente comando:

ssh-keygen -t ed25519 -C "surveyanalytica-tunnel"

Quando richiesto:

• Salva la chiave in un file (ad es., ~/.ssh/surveyanalytica_tunnel).
• Facoltativamente imposta una passphrase (lascia vuoto per le connessioni automatizzate).

Questo genera due file:

• surveyanalytica_tunnel — La chiave privata (che incollerai in SurveyAnalytica).
• surveyanalytica_tunnel.pub — La chiave pubblica (che installerai sul tuo jump server).

Nota: Consigliamo le chiavi Ed25519 per la loro solida sicurezza e dimensioni compatte. Sono supportate anche le chiavi RSA (4096 bit).

Passaggio 2: autorizza la chiave sul jump server

La chiave pubblica deve essere aggiunta alle chiavi autorizzate sul tuo jump server. Puoi farlo utilizzando ssh-copy-id:

ssh-copy-id -i ~/.ssh/surveyanalytica_tunnel.pub username@jump-server-host

In alternativa, aggiungi manualmente la chiave pubblica al file delle chiavi autorizzate:

cat ~/.ssh/surveyanalytica_tunnel.pub | ssh username@jump-server-host "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

Oppure, se hai accesso diretto al server, apri ~/.ssh/authorized_keys sul jump server e incolla il contenuto del file .pub su una nuova riga.

Verifica che la chiave funzioni prima di procedere:

ssh -i ~/.ssh/surveyanalytica_tunnel username@jump-server-host echo "Connection successful"

Passaggio 3: configura il tunnel SSH in SurveyAnalytica

In SurveyAnalytica, vai su Settings → Network Connections e fai clic su Add Connection. Seleziona SSH Tunnel come tipo di connessione.

Compila i seguenti campi:

Impostazioni del jump server

Campo	Descrizione	Esempio
Host	Il nome host pubblico o l’indirizzo IP del tuo jump server	bastion.example.com
Port	La porta SSH sul jump server	22
Username	L’account utente SSH sul jump server	sa-tunnel
Private Key	Incolla il contenuto del file della chiave privata	Contenuto di surveyanalytica_tunnel

Impostazioni del servizio di destinazione

Campo	Descrizione	Esempio
Remote Host	Il nome host interno o l’IP della risorsa di destinazione (come visto dal jump server)	10.0.1.50
Remote Port	La porta del servizio di destinazione	5432

Fai clic su Test Connection per verificare che SurveyAnalytica possa stabilire il tunnel e raggiungere il servizio di destinazione. In caso di esito positivo, fai clic su Save.

Come funziona

Quando un’integrazione o un flusso di lavoro deve raggiungere la tua risorsa interna, SurveyAnalytica:

1. Apre una connessione SSH al tuo jump server utilizzando l’autenticazione basata su chiavi.
2. Stabilisce un tunnel crittografato (port forwarding SSH) da SurveyAnalytica all’host e alla porta di destinazione tramite il jump server.
3. Instrada il traffico di integrazione attraverso questo tunnel per raggiungere il servizio interno.
4. Chiude il tunnel al termine dell’operazione.

Best practice di sicurezza

• Usa un account utente dedicato: crea un utente specifico (ad es., sa-tunnel) sul jump server per SurveyAnalytica. Non utilizzare account root o condivisi.
• Limita al solo port forwarding: configura l’utente SSH in modo da consentire solo il port forwarding, non l’accesso interattivo alla shell. Aggiungi quanto segue a ~/.ssh/authorized_keys prima della chiave:

  no-pty,no-agent-forwarding,no-X11-forwarding,permitopen="10.0.1.50:5432" ssh-ed25519 AAAA... surveyanalytica-tunnel

  Questo limita la chiave all’inoltro del traffico solo verso l’host e la porta specificati.

• Usa solo l’autenticazione basata su chiavi: disabilita l’autenticazione tramite password per l’utente del tunnel. In /etc/ssh/sshd_config, assicurati che:

  Match User sa-tunnel
      PasswordAuthentication no
      AllowTcpForwarding yes
      PermitTunnel no
      X11Forwarding no

• Ruota le chiavi periodicamente: genera una nuova coppia di chiavi e aggiorna sia SurveyAnalytica che il jump server ogni 180 giorni.
• Monitora gli accessi: controlla regolarmente i log di accesso SSH sul tuo jump server per individuare pattern di accesso inattesi.
• Limita gli IP di origine: se il tuo jump server lo supporta, limita l’accesso SSH agli intervalli IP di uscita di SurveyAnalytica’s (disponibili su richiesta presso il supporto).

Risoluzione dei problemi

Connessione rifiutata

• Verifica che l’host e la porta del jump server siano corretti e che il servizio SSH sia in esecuzione.
• Controlla che il tuo firewall consenta le connessioni SSH in entrata dagli intervalli IP di SurveyAnalytica’s.

Autenticazione non riuscita

• Conferma che la chiave pubblica sia stata aggiunta a ~/.ssh/authorized_keys sul jump server.
• Verifica che la chiave privata incollata in SurveyAnalytica corrisponda alla chiave pubblica sul server.
• Controlla i permessi dei file: ~/.ssh dovrebbe essere 700, authorized_keys dovrebbe essere 600.

Tunnel stabilito ma destinazione irraggiungibile

• Dal jump server, verifica di poter raggiungere la destinazione: nc -zv 10.0.1.50 5432.
• Controlla che AllowTcpForwarding sia impostato su yes nella configurazione del server SSH.
• Assicurati che la restrizione permitopen (se utilizzata) includa l’host e la porta di destinazione corretti.