美文网首页DTeam团队日志
使用SSH代理在本地开发环境调试各种回调

使用SSH代理在本地开发环境调试各种回调

作者: 冯宇Ops | 来源:发表于2018-05-10 01:01 被阅读185次

    前言背景

    相信大家在支付宝、微信、钉钉等各种小程序或支付对接的开发中,经常会遇到服务端回调的问题,至少要求接收回调请求的服务器有公网IP,以便能收到请求,微信的开发甚至要求回调接口必须是https,而本地开发环境往往都是内网环境,甚至连固定ip都没有,难道每次测试回调内容只能发布到测试环境中去测试,有没有简单的方法呢?

    当然有!答案就是使用SSH代理(或其他类似的proxy代理)。假定发布应用给公网用户,肯定得有一台固定ip的公网服务器吧,甚至还有固定ip的测试环境,利用这台服务器做ssh server实现代理(Linux服务器自带ssh server,windows环境可以安装ssh server,这里不赘述了)。

    之前我写过一篇利用SSH代理访问内网资源的文章,如果之前的文章对运维比较有用,那么本篇的内容体现了ssh对开发的价值。之前的文章-R参数不是重点,那么本篇则是详解-R参数。-L参数代表在本地监听端口,将请求转发到远程,而-R参数正好相反,在远程监听一个端口,将请求转发到本地。

    原理讲解

    本地必须有openssh client(Linux和Mac OS自带,windows 10系统目前也自带,windows低版本操作系统需要自己单独下载openssh client安装),一台远程服务器,有公网ip,开启ssh server,用作回调服务器。

    本地需要通过ssh连接远程服务器,在远程服务器上监听一个端口,将此端口的数据转发到本地的某个应用端口上,实现将远程数据代理到本地的作用,大概的示意图像这样:

    request ----> | remote server | <------------> | local client |
                                            ^
                                          ssh通道
    

    这样的话本地客户端不需要有固定ip,只要能ssh连接到remote server,就可以让remote server将request转发过来,而openssh恰好就提供了这样的功能,对应的是-R参数:

         -R [bind_address:]port:host:hostport
         -R [bind_address:]port:local_socket
         -R remote_socket:host:hostport
         -R remote_socket:local_socket
         -R [bind_address:]port
    

    按照官方man手册的叙述,-R参数的作用是在远程服务器bind一个ip:port(或unix domain socket),监听请求,并将请求转发到本地的ip:port(或unix domain socket)上,本质上还是一个反向代理。

    因此这个命令就非常容易写出来(以下命令在本地执行):

    ssh -R 9999:127.0.0.1:9999 user@remote
    

    和常见的ssh user@remote这种直接连接ssh shell的命令相比,添加了一个-R参数,代表ssh连接成功之后,在远程服务器上监听127.0.0.1:9999(注意省略bind_address代表bind环回口),将请求转发到127.0.0.1:9999上(相对于本机的Ip),因此就等于访问了本机127.0.0.1:9999上监听的应用程序。如果不想登录到远程shell,可以追加-N参数,如果不想挂起在前台,可以追加-f参数,如果想启用传输压缩(gzip),还可以追加-C参数。更多有用的参数可以参见man手册

    需要注意下-R的几个限制:

    • 想bind权限端口(1024以内的端口号),必须以root身份连接,普通用户无权限
    • port参数设置为0,表示随机监听一个可用的端口
    • bind_address默认为localhost,如果为*0.0.0.0则表示bind所有可用ip,但是注意远程服务器的sshd_config必须启用GatewayPorts选项才有权限这么做
    • 由于ssh是TCP协议,因此这个代理也只是TCP四层反向代理,不能实现UDP的反向代理

    配置

    明白这个原理之后,我们就可以在实际应用中实现我们的需求了。由于微信、支付宝、钉钉等绝大多数回调请求都使用HTTP协议,这个协议本身是工作在TCP协议之上的,因此可以用ssh代理实现代理HTTP协议。

    对于http请求,其实我们只要在sshd_config启用GatewayPorts选项,去bind 0.0.0.0就可以将回调请求转发到本地了,但是考虑到https反向代理,以及其他的一些http预处理需求,实际使用的时候建议前面放一个Nginx或其他http proxy server做反向代理,这样的话就不需要配置sshd_config,只bind 127.0.0.1就够了。

    以我们刚才的配置为例,监听远程服务器的127.0.0.1:9999端口,因此很容易写出Nginx的反向代理配置:

    server {
        listen 80;
        server_name api.example.com;
    
        location / {
            proxy_pass http://127.0.0.1:9999;
        }
    }
    

    把域名A记录指向remote server就行了(比如api.example.com),这样回调请求到http://api.example.com/callback就会转发到本地的http://127.0.0.1:9999/callback,于是乎在本地开发环境就可以愉快的调试回调请求了,再也不用反复发布到测试环境调试那么麻烦了。

    微信端回调要求https,那么也简单,使用免费的Let's encrypt证书,或者其他已有的安全证书,配置到Nginx就行了,使得https://api.example.com可以使用就行了,这里就不再赘述了。

    ssh直接做可能会因为网络闪断导致代理失效,如果希望ssh自动重连,可以使用autossh这个小工具,帮我们在ssh断掉之后自动重连,维持代理隧道的稳定。

    autossh的使用也十分简单,基本兼容绝大多数ssh参数,像ssh一样用就行,比如:

    autossh -M 0 -R 9999:192.168.1.10:9999 -C -N
    

    更详细的用法参考官方文档或者man手册即可。

    结语

    本篇文章我们介绍了ssh的-R代理在实际开发过程中的用途,结合之前利用SSH代理访问内网资源这篇文章,SSH的代理功能就全部讲解完毕了。可能会有人要问,ssh功能如此强大,为了防止ssh被滥用,我如何限制ssh的权限呢?对于这个问题,我将在后续的分享中详解一下ssh的各种权限。

    相关文章

      网友评论

        本文标题:使用SSH代理在本地开发环境调试各种回调

        本文链接:https://www.haomeiwen.com/subject/uxearftx.html