Os túneis cloudflared da Cloudflare são comumente usados para 'publicar' um servidor da web executado atrás de um firewall (por exemplo, tornando o servidor da web acessível pela Internet). Cloudflare restringe o tráfego ao tráfego estilo HTTP: não permitirá a publicação de SSHD, por exemplo.
Este artigo explica como 'publicar' qualquer outro serviço (como SSHD) e torná-lo acessível por meio do túnel cloudflared. Ele faz isso adicionando um WebSocket Proxy em cada lado do túnel.
Você precisa de websocat , cloudflared e gost .
Exemplo 1:
Configure um túnel para acessar o SSHD em um servidor que esteja atrás do firewall (através do túnel cloudflared da Cloudflare).
No servidor atrás do firewall
### Start a WS <-> TCP forwarder
websocat -E -b ws-l:127.0.0.1:40008 tcp:127.0.0.1:22 &
### Create a free CF Tunnel:
cloudflared tunnel --url http://localhost:40008 --no-autoupdate
O túnel CF mostrará uma URL semelhante a esta:
https://cdn.hashnode.com/res/hashnode/i … ormat=webp
Em sua estação de trabalho
### Start a TCP <-> WS forwarder to above URL
websocat -E -b tcp-l:127.0.0.1:2222 ws://<YourUrlFromAbove>.trycloudflare.com &
### Connect using SSH:
ssh -p 2222 root@127.0.0.1
Exemplo 2:
Um método mais avançado é adicionar um Proxy Socks5 à cadeia de túneis. Isso nos permitirá acessar QUALQUER COISA de nossa estação de trabalho: qualquer host dentro da LAN e qualquer host na Internet.
A ferramenta Gost suporta WS e Socks5 e é usada em vez de websocate microsocks.
No servidor atrás do firewall:
gost -L mws://:40009 &
cloudflared tunnel --url http://localhost:40009 --no-autoupdate
Em sua estação de trabalho:
gost -L :1080 -F 'mwss://<YourUrlFromAbove>.trycloudflare.com:443'
Use algumas ferramentas via Socks Tunnel (via Cloudflare/Websocket):
### Access ipinfo.io via this tunnel
curl -x socks5h://0 ipinfo.io
### Create a ProxyChains configuration
echo -e "[ProxyList]\nsocks5 127.0.0.1 1080" >pc.conf
### SSH to 192.168.1.1 via the tunnel
proxychains -f pc.conf -q ssh root@192.168.1.1
### Use NMAP via our tunnel
proxychains -f pc.conf -q nmap -nF -Pn -sT --open scanme.nmap.org
O serviço gratuito da Cloudflare limita o número de conexões . Considere atualizar.
Usamos mwsse mwspara ativar a multiplexação TCP (canalização) por meio de uma única conexão TCP em Gost. Todas as conexões TCP passarão por um único túnel CF (e uma única solicitação de Websocket).
Usamos wss (com TLS) na estação de trabalho, mas apenas ws (sem TLS) no servidor. Isso ocorre porque o Cloudflare é o servidor de borda e a conexão TLS para por aí. A Cloudflare criptografa novamente os dados para enviá-los via Cloudflared ao nosso servidor. Um túnel Cloudflare nunca é (!) End-2-End criptografado: Use SSH ou outras ferramentas criptografadas se você não confiar no CloudFlare (pois eles podem ler seus dados).
Todos os exemplos deste artigo foram testados nos servidores raiz descartáveis da Segfault .