소켓 활성화가 포함된 systemd 사용자 단위를 통한 주문형 SSH Socks 에이전트가 예상대로 다시 시작되지 않습니다.

• /usr/bin/ssh가 systemd가 전달한 소켓을 허용할 수 없다는 것이 사실입니까?

다음 사항을 고려하면 이는 별로 놀라운 일이 아닌 것 같습니다.

• OpenSSH는 OpenBSD 프로젝트입니다
• systemd는 Linux 커널만 지원합니다.
• systemd 지원은 선택 사항/빌드 타임 종속성으로 OpenSSH에 명시적으로 추가해야 하므로 판매가 어려울 수 있습니다.

---

• 이 옵션은 루트 유닛에서만 사용할 수 있습니까 BindTodevice?

사용자 systemd 인스턴스는 마스터 pid-0 인스턴스와 통신할 수 없는 등 매우 격리된 경우가 많습니다. 사용자 단위 파일의 시스템 단위에 의존하는 것과 같은 것은 불가능합니다.

언급된 문서 BindToDevice:

이 매개변수를 설정하면 장치에 추가 종속성이 추가될 수 있습니다(위 참조).

위의 제한으로 인해 이 옵션은 사용자 시스템 인스턴스에 영향을 미치지 않는다는 것을 암시할 수 있습니다.

---

• 이전 터널이 만료된 후 첫 번째 새 연결에서 프록시 서비스가 올바르게 다시 생성되지 않는 이유는 무엇입니까?

내가 아는 한 일련의 사건은 다음과 같습니다.

• SocksProxyHelper.socket시작되었습니다.
• SOCKS 클라이언트는 localhost:8118에 연결됩니다.
• 시스템이 시작됩니다 SocksProxyHelper.service.
• 종속성으로 SocksProxyHelper.servicesystemd도 시작됩니다 SocksProxy.service.
• systemd-socket-proxyd시스템 소켓을 수락하고 해당 데이터를 ssh.
• ssh죽거나 죽임을 당합니다.
• systemd는 이를 인지하고 비활성 상태로 설정 SocksProxy.service하지만 아무 작업도 수행하지 않습니다.
• SocksProxyHelper.servicessh계속 실행되고 연결을 수락하지만 더 이상 실행되지 않기 때문에 연결할 수 없습니다 .

수정 사항은 해당 설명서를 인용하여 추가하는 것입니다 BindsTo=SocksProxy.service( SocksProxyHelper.service강조 추가).

구성에는 로 스타일 지정된 종속성이 필요합니다 . 그러나 이 종속성 유형은 선언된 효과 Requires=외에도 더 강력합니다 .Requires=바인딩된 유닛이 정지되면 본 유닛도 정지됩니다.. 즉, 갑자기 비활성화된 다른 장치에 바인딩된 장치도 중지됩니다. 여러 가지 이유로 장치가 갑자기 예기치 않게 비활성화될 수 있습니다.서비스 단위의 주요 프로세스가 자체적으로 종료될 수 있습니다., 장치 장치의 지원 장치가 분리되거나 장치가 설치된 장착 지점이 시스템 및 서비스 관리자의 개입 없이 분리될 수 있습니다.

동일한 장치에 결합하면 After=동작이 BindsTo=더욱 강력해집니다. 이 경우 해당 유닛은 다음과 같이 바인딩됩니다.장치도 활성화하려면 엄격하게 활성화되어야 합니다.. 이는 다른 유닛에 바인딩된 유닛이 갑자기 비활성화된다는 의미일 뿐만 아니라, 다른 유닛에 바인딩된 유닛이 조건 확인 실패로 인해 건너뛴다는 의미이기도 합니다(예: ConditionPathExists=,,, ConditionPathIsSymbolicLink=... - 아래 참조). 달리기. 따라서 많은 경우에 BindsTo=와 함께 사용하는 것이 가장 좋습니다 After=.

---

• 이것이 "요청 시 SSH 프록시"를 설정하는 올바른 방법입니까? 그렇지 않다면 어떻게 합니까?

"올바른 방법"이 없을 수도 있습니다. 이 접근 방식에는 장점(모든 것이 "주문형"임)과 단점(systemd에 의존, ssh가 아직 수신을 시작하지 않았기 때문에 첫 번째 연결이 진행되지 않음)이 있습니다. 아마도 autossh에서 systemd 소켓 활성화 지원을 구현하는 것이 더 나은 솔루션이 될 것입니다.

나중에 참조할 수 있도록 systemd --user아래 데몬을 사용하여 주문형 SSH 터널에 대한 구성 파일을 systemd-socket-proxyd다양한 개선 사항 및 설명 설명과 함께 붙여넣었습니다.

~/.config/systemd/user/ssh-tunnel-proxy.socket

[Unit]
Description=Socket-activation for SSH-tunnel

[Socket]
ListenStream=1000

[Install]
WantedBy=sockets.target

~/.config/systemd/user/ssh-tunnel-proxy.service

[Unit]
Description=Socket-activation proxy for SSH tunnel

## Stop also when stopped listening for socket-activation.
BindsTo=ssh-tunnel-proxy.socket
After=ssh-tunnel-proxy.socket

## Stop also when ssh-tunnel stops/breaks
#  (otherwise, could not restart).
BindsTo=ssh-tunnel.service
After=ssh-tunnel.service

[Service]
ExecStart=/lib/systemd/systemd-socket-proxyd --exit-idle-time=500s localhost:1001

~/.config/systemd/user/ssh-tunnel.service

[Unit]
Description=Tunnel to SSH server

## Stop-when-idle is controlled by `--exit-idle-time=` in proxy.service
#  (from `man systemd-socket-proxyd`)
StopWhenUnneeded=true

[Service]
Type=simple
## Prefixed with `-` not to mark service as failed on net-fails;
#  will be restarted on-demand by socket-activation.
ExecStart=-/usr/bin/ssh -kaxNT -o ExitOnForwardFailure=yes  hostname_in_ssh_config  -L 1001:localhost:2000
## Delay enough time to allow for ssh-authentication to complete
#  so tunnel has been established before proxy process attaches to it,
#  or else the first SYN request will be lost.
ExecStartPost=/bin/sleep 2

맞춤 제작

위 스크립트에서 다음 문자열을 바꿔야 합니다.

• 1000- ( ssh-tunnel-proxy.socket문서)
  뭐(호스트:)포트로컬 MYSql 포트 에뮬레이션과 같은 로컬 청취 터널을 위한 소켓 활성화.
• 1001- ( ssh-tunnel-proxy.service및 ssh-tunnel.service파일)
  로컬이란 무엇입니까?(호스트:)포트에이전트가 SSH 서비스 프로세스로 전달할 때 사용됩니다.
  사용되지 않는 포트를 선택하세요.
• hostname_in_ssh_config- ( ssh-tunnel.service파일)
  연결할 호스트 그룹입니다.SSH 구성 (모든 SOCKS 구성이 여기에 속합니다).
• localhost:2000- ( ssh-tunnel.service파일)
  SSH 터널 원격호스트:포트원격 MYSql이 바인딩되는 위치와 같은 끝점입니다.
• x2 지연 시간( ssh-tunnel-proxy.service및 ssh-tunnel.service문서)
  주석에 설명되어 있습니다.
• ssh-tunnel-...- (모든 유닛 파일의 접두사)
  터널링에 대한 필요성을 설명합니다 mysql-tunnel-.... 예: .
• SSH- ( Description=모든 유닛 파일의 지시문에서)
  터널링에 대한 요구 사항을 설명합니다 MYSql. 예: .

터널을 제어하는 ​​명령

# After any edits.
systemctl --user daemon-reload
# If socket's unit-file has been edited.
systemctl --user restart ssh-tunnel-proxy.socket

# To start listening for on-demand activation of the tunnel
systemctl --user start ssh-tunnel.socket

# To enable on-demand tunnel on Boot
systemctl --user enable ssh-tunnel-proxy.socket

# To gracefully stop tunnel (any cmd will do)
systemctl --user stop ssh-tunnel.service
systemctl --user stop ssh-tunnel-proxy.service

# To gracefully stop & disable tunnel (till next reboot)
systemctl --user stop ssh-tunnel-proxy.socket

# To view the health of the tunnel
systemctl --user status ssh-tunnel-proxy.{socket,service} ssh-tunnel

# To reset tunnel after errors (both cmds may be needed)
systemctl --user reset-failed ssh-tunnel ssh-tunnel-proxy
systemctl --user restart ssh-tunnel-proxy.socket

평판 시스템 때문에 @ankostis 솔루션에 대해서는 언급할 수 없습니다...

systemd에 bash 수면 루프 사용을 피할 수 있는 옵션이 있는 것 같습니다.

예, systemd-notify가 있습니다.

또한 다음과 같이 로컬 포트 ​​낭비를 피하기 위해 systemd-socket-proxyd와 ssh 사이에 소켓을 사용하라는 @noam의 제안과 함께:

~/.config/systemd/user/ssh-tunnel-proxy.service

[Unit]
Description=Socket-activation proxy for SSH tunnel

## Stop also when stopped listening for socket-activation.
BindsTo=ssh-tunnel-proxy.socket
After=ssh-tunnel-proxy.socket

## Stop also when ssh-tunnel stops/breaks
#  (otherwise, could not restart).
BindsTo=ssh-tunnel.service
After=ssh-tunnel.service

[Service]
ExecStart=/lib/systemd/systemd-socket-proxyd --exit-idle-time=500s ${XDG_RUNTIME_DIR}/ssh-tunnel-proxy

~/.config/systemd/user/ssh-tunnel.service

[Unit]
Description=Tunnel to SSH server

## Stop-when-idle is controlled by `--exit-idle-time=` in proxy.service
#  (from `man systemd-socket-proxyd`)
StopWhenUnneeded=true

[Service]
Type=notify
NotifyAccess=all
## Prefixed with `-` not to mark service as failed on net-fails;
#  will be restarted on-demand by socket-activation.
ExecStart=-/usr/bin/ssh -kaxNT -o ExitOnForwardFailure=yes -o ControlMaster=no -o StreamLocalBindUnlink=yes -o PermitLocalCommand=yes -o LocalCommand="systemd-notify --ready" hostname_in_ssh_config -L ${XDG_RUNTIME_DIR}/ssh-tunnel-proxy:localhost:2000

ssh_config 매뉴얼 페이지에서는 LocalCommand "서버에 성공적으로 연결한 후 로컬 컴퓨터에서 실행할 명령 지정"에 대해 설명합니다.

ControlMaster=no멀티플렉싱을 사용할 때 SSH 세션이 마스터되지 않도록 하십시오. 동일한 호스트에 대한 다른 모든 멀티플렉싱된 SSH 세션이 자동으로 닫히고 종료되기 때문입니다.

마지막으로 소켓 포트를 localhost에 바인딩하는 것이 좋습니다.

~/.config/systemd/user/ssh-tunnel-proxy.socket

[Unit]
Description=Socket-activation for SSH-tunnel

[Socket]
ListenStream=127.0.0.1:1000
ListenStream=[::1]:1000

[Install]
WantedBy=sockets.target

아직 이것을 테스트하고 있지만(이 답변을 작성할 때 사용하고 있습니다) 누락된 성분이 바이너리 -o ExitOnForwardFailure=yes에 옵션으로 포함되어 있다고 생각합니다 ssh.