Что такое SSH-туннель в SurveyAnalytica?

SSH-туннель — это соединение, которое позволяет SurveyAnalytica безопасно получать доступ к ресурсам в вашей частной сети путём установки зашифрованного SSH-туннеля через промежуточный сервер (jump-сервер, также известный как bastion host). Это обычно используется, когда SurveyAnalytica необходимо подключиться к внутренним базам данных, API или сервисам, которые недоступны напрямую из интернета, но доступны с сервера, на котором открыт SSH.

SSH-туннели являются облегчённой альтернативой VPN-соединениям и хорошо подходят для подключения к отдельным сервисам, например к базе данных на конкретном хосте и порту.

Предварительные требования

Прежде чем настраивать SSH-туннель, убедитесь, что у вас есть следующее:

• Jump-сервер (bastion host) с доступом по SSH, доступный из интернета на известном порту (обычно порт 22).
• Включённая переадресация портов на jump-сервере. Конфигурация SSH-сервера (/etc/ssh/sshd_config) должна разрешать AllowTcpForwarding yes.
• Сетевое подключение от jump-сервера к целевому внутреннему ресурсу (например, к базе данных по адресу 10.0.1.50:5432).
• Учётная запись пользователя на jump-сервере для аутентификации SurveyAnalytica.
• Права администратора для добавления публичных SSH-ключей на jump-сервер.

Шаг 1. Сгенерируйте пару SSH-ключей

SurveyAnalytica использует аутентификацию на основе ключей для SSH-туннелей. Сгенерируйте выделенную пару ключей для этого подключения с помощью следующей команды:

ssh-keygen -t ed25519 -C "surveyanalytica-tunnel"

При появлении запроса:

• Сохраните ключ в файл (например, ~/.ssh/surveyanalytica_tunnel).
• При желании задайте парольную фразу (оставьте пустой для автоматических подключений).

В результате будут созданы два файла:

• surveyanalytica_tunnel — приватный ключ (вы вставите его в SurveyAnalytica).
• surveyanalytica_tunnel.pub — публичный ключ (вы установите его на своём jump-сервере).

Примечание. Мы рекомендуем ключи Ed25519 благодаря их высокой безопасности и компактному размеру. Также поддерживаются ключи RSA (4096 бит).

Шаг 2. Авторизуйте ключ на jump-сервере

Публичный ключ необходимо добавить в список авторизованных ключей на вашем jump-сервере. Это можно сделать с помощью ssh-copy-id:

ssh-copy-id -i ~/.ssh/surveyanalytica_tunnel.pub username@jump-server-host

Также вы можете вручную добавить публичный ключ в файл авторизованных ключей:

cat ~/.ssh/surveyanalytica_tunnel.pub | ssh username@jump-server-host "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

Либо, если у вас есть прямой доступ к серверу, откройте ~/.ssh/authorized_keys на jump-сервере и вставьте содержимое файла .pub на новой строке.

Прежде чем продолжить, убедитесь, что ключ работает:

ssh -i ~/.ssh/surveyanalytica_tunnel username@jump-server-host echo "Connection successful"

Шаг 3. Настройте SSH-туннель в SurveyAnalytica

В SurveyAnalytica перейдите в раздел Settings → Network Connections и нажмите Add Connection. Выберите SSH Tunnel в качестве типа подключения.

Заполните следующие поля:

Настройки jump-сервера

Поле	Описание	Пример
Host	Публичное имя хоста или IP-адрес вашего jump-сервера	bastion.example.com
Port	SSH-порт на jump-сервере	22
Username	Учётная запись SSH-пользователя на jump-сервере	sa-tunnel
Private Key	Вставьте содержимое файла приватного ключа	Содержимое surveyanalytica_tunnel

Настройки целевого сервиса

Поле	Описание	Пример
Remote Host	Внутреннее имя хоста или IP целевого ресурса (как оно видно с jump-сервера)	10.0.1.50
Remote Port	Порт целевого сервиса	5432

Нажмите Test Connection, чтобы убедиться, что SurveyAnalytica может установить туннель и обратиться к целевому сервису. Если проверка прошла успешно, нажмите Save.

Как это работает

Когда интеграции или рабочему процессу требуется обратиться к вашему внутреннему ресурсу, SurveyAnalytica:

1. Открывает SSH-соединение с вашим jump-сервером с использованием аутентификации на основе ключей.
2. Устанавливает зашифрованный туннель (переадресация портов SSH) от SurveyAnalytica к целевому хосту и порту через jump-сервер.
3. Направляет трафик интеграции через этот туннель для доступа к внутреннему сервису.
4. Закрывает туннель по завершении операции.

Рекомендации по безопасности

• Используйте выделенную учётную запись: создайте отдельного пользователя (например, sa-tunnel) на jump-сервере для SurveyAnalytica. Не используйте root или общие учётные записи.
• Ограничьте доступ только переадресацией портов: настройте SSH-пользователя так, чтобы разрешать только переадресацию портов, без интерактивного доступа к оболочке. Добавьте следующее в ~/.ssh/authorized_keys перед ключом:

  no-pty,no-agent-forwarding,no-X11-forwarding,permitopen="10.0.1.50:5432" ssh-ed25519 AAAA... surveyanalytica-tunnel

  Это ограничивает ключ переадресацией трафика только на указанный хост и порт.

• Используйте только аутентификацию на основе ключей: отключите аутентификацию по паролю для пользователя туннеля. В /etc/ssh/sshd_config убедитесь, что указано следующее:

  Match User sa-tunnel
      PasswordAuthentication no
      AllowTcpForwarding yes
      PermitTunnel no
      X11Forwarding no

• Периодически меняйте ключи: генерируйте новую пару ключей и обновляйте её как в SurveyAnalytica, так и на jump-сервере каждые 180 дней.
• Отслеживайте доступ: регулярно проверяйте журналы SSH-входов на вашем jump-сервере на предмет нетипичных обращений.
• Ограничьте исходные IP-адреса: если ваш jump-сервер это поддерживает, ограничьте SSH-доступ диапазонами исходящих IP-адресов SurveyAnalytica (доступны по запросу в службу поддержки).

Устранение неполадок

Соединение отклонено (Connection Refused)

• Убедитесь, что хост и порт jump-сервера указаны верно и служба SSH запущена.
• Проверьте, что ваш файрвол разрешает входящие SSH-соединения из диапазонов IP-адресов SurveyAnalytica.

Ошибка аутентификации (Authentication Failed)

• Убедитесь, что публичный ключ добавлен в ~/.ssh/authorized_keys на jump-сервере.
• Проверьте, что приватный ключ, вставленный в SurveyAnalytica, соответствует публичному ключу на сервере.
• Проверьте права доступа к файлам: ~/.ssh должен иметь права 700, authorized_keys — 600.

Туннель установлен, но целевой ресурс недоступен

• С jump-сервера проверьте доступность целевого ресурса: nc -zv 10.0.1.50 5432.
• Убедитесь, что параметр AllowTcpForwarding установлен в yes в конфигурации SSH-сервера.
• Убедитесь, что ограничение permitopen (если используется) включает правильный целевой хост и порт.