SSH-туннель на Chromebook: как настроить и безопасно использовать

Коротко: SSH-туннель позволяет направлять трафик браузера через зашифрованное соединение. На Chromebook это делается через crosh или расширение Secure Shell, а затем настройкой прокси (SOCKS5) в Chrome/Chrome OS. Ниже — пошаговая инструкция, варианты обхода ограничений и рекомендации по безопасности.

Что такое SSH-туннель в одну строку

SSH-туннель — это зашифрованное соединение между вашим устройством и удалённым SSH-сервером; при настройке как SOCKS-прокси он перенаправляет трафик браузера через этот канал.

Важно: SSH‑туннель защищает содержимое трафика, но по умолчанию Chrome OS может не пересылать DNS‑запросы через туннель (см. раздел «Проблемы с DNS»).

Шаг 1. Открываем SSH‑туннель (crosh)

1. Нажмите Ctrl+Alt+T, чтобы открыть crosh (вкладка браузера в Chrome OS).
2. В crosh выполните последовательность команд для подключения к SSH‑серверу и открытия динамического перенаправления (SOCKS):

ssh host [IP-адрес или имя хоста SSH‑сервера]

user [вашеимяпользователя]

port [номер_порта]

dynamic-forward [локальный_порт]

key [имяфайлаключа]

connect

Пояснения к полям:

• host — IP или DNS‑имя SSH‑сервера.
• user — ваш логин на удалённом сервере.
• port — порт SSH (по умолчанию 22; строку можно опустить, если используется 22).
• dynamic-forward — локальный порт, который будет слушать SOCKS‑прокси (часто используют 8800).
• key — имя файла приватного ключа, если сервер требует ключ вместо пароля.

После команды connect crosh попросит пароль или парольную фразу для ключа.

Вариант: если вы предпочитаете GUI, используйте расширение Secure Shell. Откройте расширение, введите данные сервера и в поле аргументов укажите “-D 8800” (или другой порт).

Шаг 2. Заставляем Chrome OS использовать туннель

Открытый туннель сам по себе не заставит Chrome пересылать трафик через него. Нужно указать туннель как прокси.

1. Откройте «Настройки» → сеть. Включите опцию “Разрешать прокси для общих сетей” (Allow proxies for shared networks).
2. Выберите текущее подключение к Интернету → вкладка «Прокси» → Manual proxy configuration.
3. В поле SOCKS host укажите localhost и порт, который вы задали (например, 8800).

Важно: штатный интерфейс Chrome OS использует SOCKS4 по умолчанию. SOCKS4 не передаёт DNS‑запросы через туннель, а значит ваши DNS‑запросы будут идти напрямую и не будут зашифрованы.

Решение: использовать SOCKS5 через расширение

Proxy SwitchySharp (или аналоги типа SwitchyOmega) позволяют выбрать SOCKS v5 и менять прокси через API Chrome. Настройте профиль, укажите:

• Адрес: localhost
• Порт: 8800 (или ваш локальный порт)
• Тип: SOCKS v5

При выборе этого профиля весь HTTP/HTTPS трафик браузера будет перенаправляться через SSH‑туннель с использованием SOCKS5.

Вариант без расширений: PAC‑файл

Если не хотите расширения, создайте PAC‑файл и укажите путь к нему в настройках прокси (Automatic Proxy Configuration).

Пример PAC‑файла (сохраните как ssh_tunnel.pac):

function FindProxyForURL(url, host)
{
    return "SOCKS5 localhost:8800";
}

Сохраните файл в Downloads или на удалённом хосте и укажите путь в настройках: например, file:///home/chronos/user/Downloads/ssh_tunnel.pac

Проблемы и устранение неполадок

• Сообщения об ошибке соединения: часто означают, что SSH‑сессия разорвана. Переподключитесь через crosh или расширение Secure Shell.
• DNS‑утечки: если DNS остаются локальными, используйте SOCKS5 и расширение, прокси‑переключатель или локальный DNS‑пересылитель на удалённом сервере.
• Периодические разрывы: проверьте стабильность сети и настройки KeepAlive на сервере (ClientAliveInterval/ClientAliveCountMax в sshd_config на сервере).

Важно: при разрыве туннеля снимите или переключите прокси‑профиль, чтобы вернуть прямое соединение с Интернетом.

Безопасность и конфиденциальность

• SSH шифрует трафик между вашим Chromebook и сервером. Однако конечный выход в Интернет происходит уже с сервера. Доверяйте серверу, через который идёт выход.
• Используйте ключи с паролями и отключайте аутентификацию по паролю, если контролируете сервер.
• На公共 Wi‑Fi SSH‑туннель защищает содержимое сессий, но не спасает от компрометации сервера.

Совет: держите приватный ключ в зашифрованном виде и ставьте на него строгие права доступа.

Альтернативы и когда туннель не подходит

• Полноценный VPN (OpenVPN, WireGuard) лучше для всего устройства, если нужно защищать не только браузер, но и системные запросы и приложения Android/Crostini.
• Если вам важны DNS‑запросы, настройте DNS‑over‑HTTPS/DoT на удалённом сервере или используйте SOCKS5 вместе с удалённым резолвером.
• Для постоянной работы на уровне сети используйте маршрутизатор с OpenVPN/WireGuard или исходящий прокси на граничном устройстве.

Практическая методология (быстрая чек‑листа)

Перед началом:

• Убедитесь, что у вас есть доступ к SSH‑серверу и права на подключение.
• Выбрали локальный порт для dynamic‑forward (напр., 8800).

Шаги для пользователя:

1. Откройте crosh (Ctrl+Alt+T) или запускайте Secure Shell.
2. Подключитесь, указав dynamic-forward и порт.
3. В Chrome OS настройте прокси (ручной SOCKS или PAC) или используйте SwitchySharp для SOCKS5.
4. Проверьте внешний IP через сайт “what is my ip” и убедитесь, что он совпадает с сервером.

Критерии приёмки:

• Браузер загружает страницы через удалённый сервер.
• Внешний IP сайта определяет как IP SSH‑сервера.
• Чувствительные данные уходят по зашифрованному каналу.

Полезные сценарии и рекомендации по ролям

Для обычного пользователя:

• Используйте Secure Shell или crosh для одноразового туннеля.
• Подключайтесь к SOCKS5 через расширение, если важно скрыть DNS.

Для системного администратора:

• Включите KeepAlive на сервере.
• Ограничьте доступ по ключам и настройте брандмауэр.
• Логируйте подключения и следите за попытками brute force.

Для инженера по безопасности:

• Тестируйте на DNS‑утечки и WebRTC‑утечки (в браузере). Отключите WebRTC или используйте расширение для предотвращения утечек.

Быстрый блок фактов

• Часто используемый локальный порт: 8800 (условно).
• Протокол SOCKS: SOCKS5 предпочтителен, так как поддерживает передачу DNS через прокси при корректной настройке.
• Crosh — встроенная оболочка Chrome OS, открывается Ctrl+Alt+T.

Краткий шаблон PAC‑файла

Сохраните как ssh_tunnel.pac и укажите путь в настройках сети:

function FindProxyForURL(url, host)
{
    return "SOCKS5 localhost:8800";
}

Когда это не сработает

• Если удалённый SSH‑сервер недоступен или блокируется провайдером/фильтрами.
• Если администратор сети запрещает исходящие соединения на порт SSH.
• Если вы хотите защитить трафик не только браузера, а всех приложений — тогда нужен системный VPN.

Резюме

SSH‑туннель на Chromebook — простой и гибкий способ шифрования трафика браузера и обхода региональных ограничений. Для безопасной и полной конфиденциальности используйте SOCKS5 (через расширение или PAC), храните ключи в безопасности и следите за стабильностью SSH‑сессии. Если нужно защищать всё устройство — выбирайте VPN‑решения.

Image Credit: sigckgc on Flickr