SSH по требованию: socket activation вместо постоянных туннелей

Зачем держать SSH туннель включённым 24/7?

Большинство разработчиков привыкли к классической схеме: запустил команду ssh -L перед началом работы, оставил её работать в фоне, а потом забыл. Туннель висит открытым день, неделю, месяц — потребляет память, занимает место в таблице соединений, иногда падает и требует перезагрузки. Такой подход работал в 2000-х, но в эру оптимизации ресурсов это выглядит расточительно.

Socket activation в systemd решает эту задачу элегантно: туннель поднимается автоматически в момент, когда вам нужен доступ, и закрывается после периода неактивности. Никаких ручных команд, никаких зависающих процессов.

Как работает socket activation

Socket activation — это механизм systemd, при котором сервис не запускается заранее, а создаётся специальный сокет, который слушает входящие соединения. Когда клиент пытается подключиться к порту, systemd автоматически стартует нужный сервис и передаёт ему соединение. Это похоже на ленивую загрузку в программировании.

Для SSH туннелей это означает:

• Туннель запускается только при первом обращении к локальному порту
• После периода неактивности (например, 5 минут без трафика) процесс завершается
• При следующем обращении всё повторяется автоматически
• Экономится память и системные ресурсы

Практическая реализация

Предположим, вам нужен туннель к удалённой базе данных на хосте production.example.com. Вместо постоянного подключения настроим автоматический туннель через socket activation.

Создайте два файла в директории ~/.config/systemd/user/:

ssh-tunnel-db.socket:

[Unit]
Description=SSH Tunnel to Production DB Socket

[Socket]
ListenStream=127.0.0.1:5432
Accept=false

[Install]
WantedBy=sockets.target

ssh-tunnel-db.service:

[Unit]
Description=SSH Tunnel to Production DB
After=network-online.target
Wants=network-online.target

[Service]
Type=simple
ExecStart=/usr/bin/ssh -N -L 127.0.0.1:5432:db.internal:5432 user@production.example.com
Restart=on-failure
RestartSec=5s

[Install]
WantedBy=multi-user.target

Теперь активируем и включаем автозагрузку:

systemctl --user daemon-reload
systemctl --user enable ssh-tunnel-db.socket
systemctl --user start ssh-tunnel-db.socket

Проверяем статус:

systemctl --user status ssh-tunnel-db.socket

Попробуйте подключиться к базе на локальном порту 5432 — туннель поднимется автоматически:

psql -h 127.0.0.1 -p 5432 -U user dbname

Тонкости конфигурации

Есть несколько моментов, на которые нужно обратить внимание:

• Accept=false в файле сокета означает, что systemd сам управляет соединением, а не передаёт его напрямую
• Type=simple для SSH туннеля обычно подходит лучше, чем Type=notify
• Флаги -N (no command) и -f (background) используются неправильно с systemd — пусть systemd сам управляет жизненным циклом процесса
• Убедитесь, что SSH ключ находится в ~/.ssh/ и имеет правильные права (600)

Преимущества и подводные камни

Что вы получаете

• Автоматическое управление жизненным циклом туннеля
• Экономия памяти и CPU на неиспользуемых процессах
• Прозрачность: сокет ведёт себя как обычное слушающее соединение
• Встроенный механизм перезагрузки при сбое
• Логирование через journalctl

Просмотр логов:

journalctl --user -u ssh-tunnel-db -f

На что нужно обратить внимание

Socket activation добавляет небольшую задержку при первом обращении (пока systemd поднимает процесс). Если вы работаете с критичными по времени операциями, это может быть заметно.

Также убедитесь, что ваша SSH конфигурация позволяет подключаться без интерактивного ввода пароля или пассфразы. Используйте SSH ключи или вспомогательные инструменты вроде ssh-agent.

Расширение: несколько туннелей

Если вам нужны несколько туннелей (к БД, к кэшу, к внутреннему сервису), просто создайте несколько пар файлов с разными именами:

• ssh-tunnel-db.socket / ssh-tunnel-db.service (порт 5432)
• ssh-tunnel-redis.socket / ssh-tunnel-redis.service (порт 6379)
• ssh-tunnel-api.socket / ssh-tunnel-api.service (порт 8080)

Каждый туннель управляется независимо, запускается только при необходимости и завершается после неактивности.

Заключение

Socket activation — это инструмент, который меняет отношение к управлению SSH туннелями. Вместо того чтобы держать в памяти десяток зависящих процессов, вы получаете прозрачную, управляемую systemd инфраструктуру. Процесс настройки занимает 15 минут, а выигрыш в стабильности и ресурсах ощущается сразу.

Если вы работаете с удалёнными сервисами, баз данных и внутренними API — попробуйте этот подход. Вероятно, вы уже не захотите возвращаться к старой схеме с постоянно открытыми туннелями.