分享开源项目 Passport，一行 URL 搞定可信认证、网络穿透和端口转发

[uid106]

• 事情的起因是这样的，服务器在没有上 fail2ban 之前，每天被爆破上千次，我就在想能不能用什么办法，让这些发包的 ip 访问不了我的端口呢？
• 秉持着试一试的心态，go 语言网络处理能力也不赖，要不让 go 语言来试一下吧。
• 于是开始设计可信认证的理念：开一个 http 服务，只有访问秘密的特定路径的 ip 地址，就把它存下来，相当于加入了白名单。
• 有了 ip 地址白名单，接下来就是做一套 tcp 端口转发，go 语言同样不在话下，在中间设卡，只有在白名单里的 ip 才能继续交换数据。
• 再后来，为了安全考虑，以及尽量减少存储 io ，直接把白名单写进内存，同样的 http 也做了自签，丢进内存里，再后来借鉴了 certmagic 包，直接自动化处理 tls 证书，http/https 选择自由。
• 就这样稳定用了很久，对内网穿透又有了需求，结合刚才的那一套，又接着开发出网穿的服务端和客户端，同样可以选择服务端是不是带认证，而且修了一下 sshd 隔段时间断开的坑。
• 继续稳定自用了好几个月，决定终于可以终于可以开源开源共享出来了，把这个项目命名为 passport ，意思就是需要 access pass 才可以让数据穿过特定端口。
• 项目托管在 github 上，也算是我在 V2EX 分享的第一个作品，欢迎前辈们鉴赏，若有不足之处，敬请指正。
• https://github.com/yosebyte/passport

[crab]

port knocking ？

[uid106]

@crab 没设置的那么高级，核心逻辑是 ip 地址核查：
```
clientIP, _, err := net.SplitHostPort(linkConn.RemoteAddr().String())
if err != nil {
linkConn.Close()
return
}
if _, exists := whiteList.Load(clientIP); !exists {
linkConn.Close()
return
}
```

[xyholic]

./passport server://:10101/:10022#https://hostname:8443/server

意思是我访问 10101 的时候需要先完成 https://hostname:8443/server 里要求的验证，成功之后后端才会把我的访问转发到 10022 ？ https://hostname:8443/server 可以是 basic auth 么
还是说只要访问过 https://hostname:8443/server 就可以了，需要把 uri 写的复杂一些等于加了个密码？

[uid106]

@xyholic 抱歉有 7 天回复限制。感谢您的反馈，您提供的命令是用来进行内网穿透的，服务端暴露 10022 提供访问，10101 负责数据交换，如果要访问 10022 端口，需要首先访问 https://hostname:8443/server ，端口和路径都可以自定义，且最好乱序一些防止字典破解，您只需要访问一下这段 url 即可，会显示当前客户端 ip 地址并记录在内存，之后再访问 10022 端口就可以放行了；因为是 https 就没再麻烦一步提供 basic auth ，这个项目的初衷就是一切从简且安全。

[xyholic]

@uid106 明白了，那还不错