說個(gè)最近的遭遇人在外面手機(jī)上收到服務(wù)器告警磁盤快滿、日志刷屏、進(jìn)程被擠出。我身邊沒電腦手機(jī)上的終端客戶端在那種情況下根本用不上。折騰了半天我下決心給自己搭一套能放在瀏覽器里、隨時(shí)隨地打開就能連的 Web SSH。最后配合 Termix 把 SSH 會(huì)話橋接到了網(wǎng)頁端整個(gè)過程踩了不少坑。這篇是完整記錄想做這件事的原理、部署方式、安全加固和排錯(cuò)經(jīng)驗(yàn)都在里面。適合跟我一樣經(jīng)常不在電腦前的人也適合正在選型的小團(tuán)隊(duì)運(yùn)維同學(xué)參考。1. 為什么我最后選擇自建 Web SSH而不是硬湊合1.1 傳統(tǒng) SSH 在移動(dòng)場(chǎng)景下的四個(gè)尷尬我不是說命令行 SSH 不好它在正經(jīng)辦公環(huán)境里無可替代。但隨時(shí)隨地管服務(wù)器這六個(gè)字直接把傳統(tǒng)方式的臉打腫了第一客戶端依賴。公司電腦、客戶現(xiàn)場(chǎng)的機(jī)器、朋友借的筆記本不可能每臺(tái)都裝好 SSH 客戶端。遇到 Windows 默認(rèn)環(huán)境更強(qiáng)命令端都沒法直接用。手機(jī)端的 SSH 應(yīng)用倒是不少可屏幕小、鍵盤輸入難受、復(fù)制粘貼還經(jīng)常亂套。第二網(wǎng)絡(luò)環(huán)境限制。很多訪客網(wǎng)絡(luò)只放行 80 和 443 端口SSH 默認(rèn)的 22 端口直接被掐死。有的公司出口代理還要審計(jì)流量非標(biāo)準(zhǔn)端口很容易觸發(fā)告警。第三多臺(tái)機(jī)器管理碎片化。我得同時(shí)維護(hù)好幾臺(tái)服務(wù)器IP、端口、密鑰、用戶名光這些信息就夠記一堆。沒有一個(gè)統(tǒng)一的入口每次都是臨時(shí)去翻記錄效率極低。第四會(huì)話穩(wěn)定性。網(wǎng)絡(luò)一波動(dòng)SSH 會(huì)話斷掉正在跑的任務(wù)可能跟著遭殃。雖然進(jìn)程層面有 tmux、screen 頂著但你在移動(dòng)端重新連回去的體驗(yàn)依然不痛快。1.2 Web SSH 的適用人群與場(chǎng)景邊界這套方案不是要取代桌面 SSH它解決的是輕量、臨時(shí)、跨設(shè)備的問題。最適合三類人個(gè)人開發(fā)者 / 獨(dú)立站長(zhǎng)服務(wù)器不多但經(jīng)常外出需要快速看一眼服務(wù)狀態(tài)、重啟容器、看日志瀏覽器就能解決。小團(tuán)隊(duì)運(yùn)維成員需要共用一個(gè)管理入口但不想給每個(gè)人都開服務(wù)器系統(tǒng)賬號(hào)又想留操作記錄?；旌檄h(huán)境使用者公司內(nèi)網(wǎng)有一批機(jī)器家里有一批機(jī)器想要一個(gè)統(tǒng)一的管理頁面。不適合誰如果你的運(yùn)維流程已經(jīng)重度依賴堡壘機(jī)、審計(jì)系統(tǒng)或者有嚴(yán)格的等保需求那就沒必要自建直接走企業(yè)級(jí)方案。Web SSH 適合夠用就好的人。1.3 別人家的方案 vs 自己搭市面上現(xiàn)成的方案并不少云廠商控制臺(tái)里基本都有網(wǎng)頁終端也有在線 SSH 工具網(wǎng)站。但我個(gè)人不愿意接受兩個(gè)限制一是賬號(hào)系在特定平臺(tái)上換一家云廠商、換一臺(tái)非公有云機(jī)器就用不了二是中間鏈路自己不可控在線工具相當(dāng)于把服務(wù)器會(huì)話交給了第三方安全性我說服不了自己。Termix 這種自建方案最大的價(jià)值就是自主權(quán)會(huì)話數(shù)據(jù)跑在自己控制的鏈路上認(rèn)證規(guī)則自己定日志自己留。雖然搭建花費(fèi)一些時(shí)間但長(zhǎng)期用下來很值。2. Termix 的工作機(jī)制SSH 是怎么被塞進(jìn)瀏覽器的2.1 整體結(jié)構(gòu)三個(gè)角色各司其職在真正動(dòng)手之前我建議先花十分鐘理解這套東西的運(yùn)行邏輯。用一句話概括瀏覽器負(fù)責(zé)顯示終端界面服務(wù)端負(fù)責(zé)代替你完成 SSH 協(xié)議通信兩者之間用實(shí)時(shí)通道連接起來。拆開看分成三層前端層瀏覽器里跑的終端模擬組件負(fù)責(zé)把字符流渲染成一個(gè)可交互的終端窗口同時(shí)把鍵盤輸入捕獲并發(fā)送出去。橋接層也就是 Termix 服務(wù)端本身接收瀏覽器的實(shí)時(shí)連接請(qǐng)求解析會(huì)話指令然后在服務(wù)器本地創(chuàng)建一個(gè)真正可用的 SSH 會(huì)話。目標(biāo)層你要管理的目標(biāo)服務(wù)器Termix 服務(wù)端以普通 SSH 客戶端的方式連接它。整個(gè)過程里瀏覽器并沒有直接跟目標(biāo)服務(wù)器建立 SSH 連接它只跟 Termix 服務(wù)通信。2.2 一次會(huì)話的完整數(shù)據(jù)流我畫一下我在腦子里理的流程對(duì)這個(gè)部分新手容易暈?zāi)阍跒g覽器里打開 Termix 頁面先做登錄認(rèn)證服務(wù)端發(fā)給你一個(gè)有效的會(huì)話令牌。你在頁面里輸入目標(biāo)服務(wù)器的地址、端口、用戶名或者選擇一個(gè)預(yù)配置的主機(jī)。Termix 服務(wù)端收到請(qǐng)求后校驗(yàn)權(quán)限然后替你執(zhí)行一次 SSH 連接。連接建立后目標(biāo)服務(wù)器的 stdout 輸出被編碼成數(shù)據(jù)幀通過實(shí)時(shí)通道推給瀏覽器。瀏覽器里的終端模擬組件把數(shù)據(jù)幀還原成文字和顏色顯示在頁面上。你在頁面敲下的每個(gè)按鍵也被封裝成數(shù)據(jù)幀回傳到服務(wù)端服務(wù)端把它寫入 SSH 會(huì)話的標(biāo)準(zhǔn)輸入。實(shí)際用下來感覺就和本地終端幾乎一樣。2.3 為什么要用 WebSocket 而不是普通 HTTP 請(qǐng)求這里解釋一個(gè)關(guān)鍵選型點(diǎn)。SSH 會(huì)話是雙向、持續(xù)、實(shí)時(shí)的通信每個(gè)按鍵都要很快響應(yīng)服務(wù)端的輸出也要連續(xù)推給瀏覽器。如果用普通 HTTP 輪詢你每敲一個(gè)字符就要發(fā)一次完整請(qǐng)求服務(wù)端有輸出還要另外拉一次延遲和資源消耗都受不了。Termix 的橋接通道用的是 WebSocket。它的核心優(yōu)勢(shì)是建立一次連接之后雙向推送數(shù)據(jù)不需要反復(fù)握手也不存在短輪詢的延遲問題。體驗(yàn)上接近原生 SSH能做到輸入即時(shí)回顯、輸出持續(xù)滾動(dòng)。在反向代理層處理的關(guān)鍵就是把這個(gè) WebSocket 升級(jí)請(qǐng)求正確放行后面第五節(jié)我會(huì)詳細(xì)講踩坑過程。2.4 會(huì)話管理與終端類型協(xié)商還有一個(gè)容易被忽略的細(xì)節(jié)是終端類型協(xié)商。傳統(tǒng) SSH 會(huì)自動(dòng)協(xié)商一個(gè)終端類型比如xterm-256color影響顏色顯示和快捷鍵行為。Web SSH 同樣要做這個(gè)事情Termix 在建立會(huì)話時(shí)會(huì)帶上預(yù)設(shè)的終端類型保持顏色主題、光標(biāo)定位、快捷鍵組合能正常工作。如果協(xié)商不對(duì)最常見的癥狀是top、htop的界面刷不出來或者 vim 里的方向鍵變成字符A、B、C、D。3. 從零搭起Termix 部署全流程記錄3.1 部署前的準(zhǔn)備工作先說硬件和環(huán)境需求。我用的是一臺(tái) 1 核 1G 的小機(jī)器CentOS 7 系統(tǒng)內(nèi)存小了點(diǎn)但只跑 Termix 完全夠。如果你要同時(shí)承載多人使用建議 2 核 2G 起步。需要一個(gè)域名用來配置 HTTPS不然瀏覽器里的部分高級(jí)能力比如剪貼板讀取會(huì)被限制。域名解析到這臺(tái)機(jī)器上并確保 80、443 端口在防火墻里放行。注意放行 443 端口之后如果這臺(tái)服務(wù)器本身就是你的目標(biāo)機(jī)器之一請(qǐng)確認(rèn)你沒有把 22 端口暴露到公網(wǎng)。Termix 服務(wù)本身應(yīng)當(dāng)通過系統(tǒng)防火墻只允許本地回環(huán)訪問真正對(duì)外暴露的只有 443。3.2 安裝與初始化配置Termix 的安裝包跟一般軟件不大一樣不同版本的目錄結(jié)構(gòu)和命令會(huì)存在差異。下面這套步驟是我基于常見實(shí)踐整理的通用流程你拿到具體版本后要對(duì)照官方說明調(diào)整目錄和配置文件路徑。# 1. 創(chuàng)建獨(dú)立運(yùn)行用戶避免以 root 身份常駐服務(wù) useradd -m -s /bin/bash termix # 2. 切換到該用戶并下載安裝包解壓到指定目錄 su - termix mkdir -p ~/termix tar -xzf termix-release.tar.gz -C ~/termix cd ~/termix # 3. 生成初始配置模板 ./termix init初始化完成后目錄下會(huì)有一個(gè)termix.yaml配置模板。我個(gè)人的習(xí)慣是把配置項(xiàng)按三塊分監(jiān)聽地址、認(rèn)證策略、會(huì)話上限。最開始什么都不用想復(fù)雜只改監(jiān)聽地址server: listen: 127.0.0.1:8080 # 只監(jiān)聽本地回環(huán) session_timeout: 1800 # 會(huì)話空閑超時(shí)單位秒 auth: mode: password # 先用密碼登錄后邊再加 TOTP session_ttl: 7200 # 登錄態(tài)過期時(shí)間用./termix start啟動(dòng)服務(wù)telnet 127.0.0.1 8080能通就說明基礎(chǔ)服務(wù)起來了。這時(shí)瀏覽器訪問需要先想辦法打通外網(wǎng)訪問路徑推薦的做法是交給反向代理來處理。3.3 初始化配置的可操作細(xì)節(jié)我第一次搭的時(shí)候在配置上犯過一個(gè)低級(jí)錯(cuò)誤把監(jiān)聽地址配成了服務(wù)器公網(wǎng) IP。這樣 Termix 服務(wù)本身直接暴露在公網(wǎng)省掉反向代理的部署看起來更簡(jiǎn)單但后續(xù)想加 HTTPS、做訪問控制就非常痛苦而且 8080 端口很容易被掃描工具盯上。正確做法是只監(jiān)聽 127.0.0.1讓外部流量經(jīng)過反向代理轉(zhuǎn)發(fā)進(jìn)來。這樣 Termix 永遠(yuǎn)只面對(duì)本機(jī)的 Web 服務(wù)器公網(wǎng)攻擊者看不到它。3.4 反向代理與 HTTPS 配置我用的主機(jī)的 Web 服務(wù)器是常見開源方案給 Termix 加一段反向代理配置。這里有個(gè)關(guān)鍵要求必須放行 WebSocket 升級(jí)請(qǐng)求。以我的配置片段為例server { listen 443 ssl; server_name term.example.com; ssl_certificate /etc/ssl/term/term.example.com.pem; ssl_certificate_key /etc/ssl/term/term.example.com.key; location /termix/ { proxy_pass http://127.0.0.1:8080; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection upgrade; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; } }如果你的 Web 服務(wù)器可以自動(dòng)申請(qǐng)和續(xù)期 HTTPS 證書那更容易直接把域名指過來配一個(gè)反向代理就好。注意http與https的自動(dòng)跳轉(zhuǎn)、請(qǐng)求體大小限制要放開SSH 會(huì)話傳輸?shù)牧魇綌?shù)據(jù)并不大不會(huì)被 Nginx 限制困擾但 WebSocket 幀的讀取超時(shí)要給足。默認(rèn)超時(shí)經(jīng)常是 60 秒終端長(zhǎng)時(shí)間沒有輸出時(shí)會(huì)被主動(dòng)斷開建議把讀取超時(shí)調(diào)大例如 300 秒以上。配好后瀏覽器訪問https://term.example.com/termix/看到登錄頁說明整套鏈路已經(jīng)通了。4. 公網(wǎng)暴露的 Web SSH這些安全加固必須做4.1 我只跑了兩天就被掃描了這套服務(wù)上線后我特意觀察了幾天日志。第一天就有來自不同來源的掃描請(qǐng)求試圖猜登錄口令。這給我提了一個(gè)醒Web SSH 是價(jià)值非常高的攻擊目標(biāo)因?yàn)樗坏┍还テ频扔诎逊?wù)器權(quán)限交出去了。所以安全這塊不是可選項(xiàng)是必選項(xiàng)。攻擊面主要有三塊登錄前暴力破解、弱口令嘗試、未知路徑探測(cè)。會(huì)話中令牌泄露、被中間人截獲、多用戶會(huì)話隔離不足。系統(tǒng)層Termix 服務(wù)本身上線后如果某個(gè)未知接口被調(diào)用了安全隱患會(huì)放大。4.2 登錄認(rèn)證升級(jí)從單層密碼到兩層保護(hù)密碼登錄在公網(wǎng)上撐不了多久。我的建議是至少做到兩層第一層密碼驗(yàn)證第二層動(dòng)態(tài)驗(yàn)證碼。Termix 支持在登錄認(rèn)證基礎(chǔ)上掛載動(dòng)態(tài)口令驗(yàn)證我用的是常見的開源動(dòng)態(tài)口令庫(kù)生成方式是基于時(shí)間的一次性密碼。手機(jī)端裝一個(gè)標(biāo)準(zhǔn)認(rèn)證類應(yīng)用掃描 Termix 生成的二維碼以后每次登錄都要輸入 6 位動(dòng)態(tài)碼。這樣做的好處是即使密碼因?yàn)槟撤N原因泄露沒有動(dòng)態(tài)碼也進(jìn)不來。我還順手做了失敗次數(shù)限制同一 IP 連續(xù)失敗 5 次就臨時(shí)封禁 15 分鐘。這個(gè)可以在 Web 服務(wù)器層實(shí)現(xiàn)也可以在 Termix 內(nèi)啟用看各自版本支持情況。4.3 IP 白名單、訪問路徑與來源控制如果你的使用場(chǎng)景相對(duì)固定可以在 Web 服務(wù)器層加 IP 限制。只允許公司出口 IP、家里寬帶 IP 訪問/termix/路徑其它來源一律返回 403。這個(gè)策略簡(jiǎn)單有效能過濾掉 80% 的掃描流量。如果活動(dòng)范圍確實(shí)不固定至少可以設(shè)置賬號(hào)級(jí)登錄地點(diǎn)提醒登錄成功之后把本次來源 IP 顯示在頁面上發(fā)現(xiàn)不對(duì)立刻手動(dòng)失效全部會(huì)話。4.4 會(huì)話隔離與超時(shí)策略多人共用這套系統(tǒng)時(shí)每個(gè)用戶的 SSH 會(huì)話必須相互隔離。Termix 的每個(gè)連接在服務(wù)端有獨(dú)立的會(huì)話映射互不干擾。我配置了空閑超時(shí)自動(dòng)斷開默認(rèn)為 30 分鐘如果 30 分鐘內(nèi)沒有鍵盤輸入會(huì)話自動(dòng)終止避免人走開以后會(huì)話被接管。注意這里的會(huì)話超時(shí)和系統(tǒng)層的 idle session 不是一回事。系統(tǒng)層的會(huì)話可能還會(huì)因?yàn)榉?wù)端線路問題懸掛著Web SSH 的會(huì)話超時(shí)只是指瀏覽器與 Termix 之間的連接。真正要杜絕懸掛連接建議同時(shí)配合使用ClientAliveInterval這類 SSH 服務(wù)端參數(shù)。4.5 審計(jì)日志是最容易被忽視的一環(huán)我建議從第一天就開啟操作日志。這個(gè)日志至少需要記錄四個(gè)要素誰、在什么時(shí)間、連了哪臺(tái)機(jī)器、執(zhí)行了什么操作。如果只記錄登錄成功但沒記錄具體命令出問題的時(shí)候你連攻擊者做了什么都不知道。Termix 大部分版本可以配置將日志輸出成文本落盤。我的做法是直接寫到日志目錄下然后定期歸檔。終端輸出和鍵盤輸入如果都記錄日志文件會(huì)增長(zhǎng)得很快但如果連續(xù)記錄兩個(gè)月對(duì)磁盤占用完全可接受換來的排查能力非常值得。風(fēng)險(xiǎn)點(diǎn)常見攻擊方式我采用的加固措施登錄口令暴力破解、撞庫(kù)密碼 動(dòng)態(tài)驗(yàn)證碼失敗次數(shù)限制訪問來源全網(wǎng)掃描Web 服務(wù)器層 IP 白名單非白名單 403 拒絕會(huì)話劫持令牌泄露、中間人強(qiáng)制 HTTPS會(huì)話空閑自動(dòng)過期越權(quán)操作賬號(hào)共用、權(quán)限過大獨(dú)立系統(tǒng)賬號(hào)映射按需分配主機(jī)權(quán)限事后溯源證據(jù)缺失記錄登錄時(shí)間、來源、命令輸出、目標(biāo)主機(jī)5. 實(shí)測(cè)踩坑記錄從能用到好用的關(guān)鍵修復(fù)5.1 復(fù)制粘貼失靈和方向鍵亂碼第一次跑通之后我用 vim 編輯文件發(fā)現(xiàn)方向鍵每次都會(huì)插入字符A、B、C、D復(fù)制粘貼也完全不受控。一開始以為是 Termix 的問題排查之后確認(rèn)是終端類型協(xié)商的問題。因?yàn)槟承┙K端組件默認(rèn)以極小型的終端類型連接老舊的程序不支持功能鍵轉(zhuǎn)義序列。解決方式有兩種把終端類型固定為xterm-256color在 Termix 的會(huì)話配置里指定終端類型參數(shù)。檢查瀏覽器頁面是否啟用了正確的終端模擬組件的鍵位映射有些組件默認(rèn)不開啟應(yīng)用光標(biāo)模式。真正把終端類型改成xterm-256color之后vim 的體驗(yàn)立刻正常了。復(fù)制粘貼要注意頁面上提供的安全上下文權(quán)限首次使用會(huì)要授權(quán)剪貼板讀取允許一次后就不再?gòu)棥?.2 WebSocket 被反向代理掐斷的完整排查鏈路這個(gè)問題很典型值得寫出來。上線前一天我測(cè)試一切正常第二天再打開頁面輸入密碼后能建立會(huì)話但終端沒有任何輸出幾秒后提示連接已斷開。看 Termix 服務(wù)端日志發(fā)現(xiàn)瀏覽器發(fā)起 WebSocket 升級(jí)請(qǐng)求服務(wù)端已經(jīng)接受了但反向代理層沒有正確轉(zhuǎn)發(fā)。排查過程是這樣的先用瀏覽器的開發(fā)者工具抓請(qǐng)求確認(rèn) WebSocket 握手請(qǐng)求返回了 200 而不是 101。200 說明反向代理沒有把它當(dāng)一個(gè)升級(jí)請(qǐng)求而是當(dāng)成普通 GET 請(qǐng)求處理了。檢查反向代理配置發(fā)現(xiàn)我第一版配置里沒有設(shè)置Upgrade和Connection請(qǐng)求頭。最初補(bǔ)上了Connection upgrade的配置接上發(fā)現(xiàn)還是不穩(wěn)因?yàn)榇淼淖x取超時(shí)太短長(zhǎng)連接閑置一會(huì)兒就被切斷。最后調(diào)整代理讀取超時(shí)參數(shù)把超時(shí)加大問題徹底消失。這里最容易被忽略的是很多反向代理默認(rèn)不保留長(zhǎng)連接升級(jí)請(qǐng)求一旦走默認(rèn)處理WebSocket 就廢了。這種問題不是一眼能看出來的要認(rèn)真翻一下層層的日志。5.3 多人同時(shí)登錄同一主機(jī)的會(huì)話串?dāng)_有同事在同一時(shí)間登錄同一臺(tái)目標(biāo)服務(wù)器出現(xiàn)了一種奇怪現(xiàn)象兩邊敲的命令偶爾會(huì)跑到對(duì)方會(huì)話里。排查后發(fā)現(xiàn)問題不在 Termix 本身而是我們兩個(gè)人用的系統(tǒng)賬號(hào)是同一個(gè)。當(dāng)兩個(gè) Web SSH 會(huì)話映射到同一個(gè)系統(tǒng)用戶時(shí)服務(wù)端交互式會(huì)話會(huì)沖突。解決辦法是給每個(gè)人分配獨(dú)立的系統(tǒng)賬號(hào)并且 Termix 配置里把賬號(hào)與主機(jī)訪問權(quán)分開控制。如果只是臨時(shí)用一下至少要讓每個(gè)人手動(dòng)指定--identity參數(shù)連接不同會(huì)話避免復(fù)用同一個(gè)默認(rèn)賬號(hào)。5.4 手機(jī)端體驗(yàn)優(yōu)化的一些細(xì)節(jié)瀏覽器能開網(wǎng)頁就能連服務(wù)器但手機(jī)端有幾個(gè)地方值得打磨把頁面添加到主屏幕全屏顯示體驗(yàn)接近原生應(yīng)用。開啟頁面自帶的字號(hào)調(diào)整選項(xiàng)手機(jī)端字號(hào)適中才不費(fèi)眼。把常用主機(jī)預(yù)存在 Termix 的配置里連接時(shí)只需要點(diǎn)一下選擇不用敲 IP。開小鍵盤出來會(huì)很占屏盡量用終端操作少開輸入法。我實(shí)際在手機(jī)上用它修過一次配置錯(cuò)誤人在地鐵上服務(wù)告警我打開手機(jī)瀏覽器點(diǎn)兩下進(jìn)了頁面改掉了配置服務(wù)恢復(fù)。以前這種場(chǎng)景基本是等回電腦再說。一些我最后想分享的使用習(xí)慣Termix 這套體系用了幾個(gè)月后我總結(jié)了幾條自己的習(xí)慣?，F(xiàn)在每周都會(huì)檢查一次登錄日志看看有沒有陌生 IP 的嘗試記錄。動(dòng)態(tài)驗(yàn)證碼讓密碼泄露的風(fēng)險(xiǎn)變低但并不能完全代替定期更換密碼。所有目標(biāo)服務(wù)器的密鑰盡量都采用密鑰登錄并且 Termix 服務(wù)端保存密鑰文件的位置要設(shè)置嚴(yán)格權(quán)限其它用戶不可讀。如果你準(zhǔn)備給團(tuán)隊(duì)使用建議最開始就約定賬號(hào)命名規(guī)范和目標(biāo)主機(jī)分組規(guī)則不然人一多就會(huì)亂。如果你已經(jīng)有一臺(tái)可以訪問公網(wǎng)的服務(wù)器搭這套東西一兩個(gè)小時(shí)就能搞定真正花時(shí)間的其實(shí)是被攻擊之后怎么應(yīng)對(duì)。能把這套東西認(rèn)真跑起來的人運(yùn)維效率會(huì)提升很大。希望你也能從這套方案里受益。