SuperEdge 云边隧道新特性：从云端SSH运维边缘节点

背景

在边缘集群的场景下边缘节点分布在不同的区域，且边缘节点和云端之间是单向网络，边缘节点可以访问云端节点，云端节点无法直接访问边缘节点，给边缘节点的运维带来很大不便，如果可以从云端SSH登录到边缘节点可以简化节点的运维工作。针对这一需求，SuperEdge 项目扩展了 tunnel 组件的能力，新增了 SSH 模块，让用户可以从云端 SSH 登录到边缘节点。

需求分析

边缘集群的节点分布在不同的区域，边缘节点能够访问云端 master 节点，但 master 节点无法访问边端区域内的节点，用户希望通过访问 master 节点的端口 SSH 登录到节点实施运维工作。

常规方案

使用 SSH 端口转发技术可以实现 SSH 运维边缘节点功能，具体内容如下图所示：

1. 边缘节点 node-A 和 node-B 通过 SSH 的远程转发(ssh -R)将云端 master-A 节点的 port-A 和 port-B 端口与本地22端口(SSH Server 的端口)绑定
2. user 通过SSH的动态转发(ssh -D)与 master-A 建立 SSH 隧道同时在本地监听 local-port 端口
3. local-port 的请求都会通过 SSH 连接传到 master-A，由master-A 转发，例如 SSH 登录 node-A：ssh -o ProxyCommand=”nc -X 5 -x 127.0.0.1:local-port 127.0.0.1 port-A” root@127.0.0.1 ，127.0.0.1 port-A 就是 master-A 转发时请求的目标地址。

常规方案的缺点：

• 边缘节点映射端口管理复杂 如图2所示，node-A 和node-B 将本地的22端口在 master-A 上映射为不同的端口，SSH 登录目标节点需要指定其在master-A映射的端口，当边缘节点数量很多时端口映射管理非常复杂，直接导致方案不可行。
• 请求涉及的多个连接，增加了出错的概率 以 SSH 登录 node-A为例，如图1所示，sshClient->local-port，user