需求

公司有自建的 GitHub 企业版,必须通过 VPN 或者 SSH 跳板机才能访问网页,如何在客户端通过命令行存取远端代码库呢?

示例

GitHub 企业版地址:github.abc.com 跳板机:jump_host 跳板机用户名:jump

解决方案

公司的 GitHub 启用了大文件存储模式 Git-LFS, checkout 代码库的时候,客户端需要先通过 SSH 取回库的内容(包括大文件的占位符),再通过 HTTPS 取回对应占位符的大文件。因此在配置跳板机时,需要同时考虑 SSH 和 HTTPS 两种协议的代理转发。

SSH 转发

SSH 转发配置非常直接,通过跳板机转发所有发送到目标地址的 SSH 流量。

编辑 ~/.ssh/config

1
2
3
4
Host github.abc.com
    Hostname github.abc.com
    User git
    ProxyCommand ssh [email protected]_host -W %h:%p

这里的 ProxyCommand 会利用 ssh -W 来连接跳板机然后转发请求。-W 参数在较新的 OpenSSH 中获得支持,至少需要 5.4 link。在较老的版本中,则可以使用 nc (netcat) 代替。

1
ProxyCommand ssh [email protected]_host nc -q0 %h %p

在配置文件中不能存储 SSH 账号的密码,如果已经配置了服务器和跳板机的公钥访问,则可以直接免密码连接,否则会在连接过程中要求输入密码。

HTTP/HTTPS 转发

建立了 SSH 隧道,我们还需要一个 HTTP/HTTPS 代理才能访问 GitHub LFS。通常情况下,我们不能在跳板机新安装一个代理软件,这里我们就在客户端本地安装一个基于 SSH 的 HTTP/HTTPS 代理 mallory link。这个代理对于跳板机的唯一要求就是 SSH 可用,不用任何其他配置。

这是一个使用 GoLang 编写的开源代理软件,直接用下面的命令即可安装完成,装好的程序位于 ~/go/bin/mallory

1
go install github.com/justmao945/mallory/cmd/[email protected]

编辑 ~/.config/mallory.json

1
2
3
4
5
6
7
8
9
{
  "id_rsa": "$HOME/.ssh/id_rsa",
  "local_smart": ":1315",
  "local_normal": ":1316",
  "remote": "ssh://[email protected]_host",
  "blocked": [
    "github.abc.com"
  ]
}

代理会启动两个端口,local_normal 会转发所有 HTTP/HTTPS 请求到跳板机,local_smart 只会转发目标地址为 blocked 中配置域名的请求到跳板机。

启动代理软件

1
nohup ~/go/bin/mallory &

编辑 ~/.gitconfig

1
2
3
[http "https://github.abc.com"]
        proxy = http://localhost:1315
        sslVerify = false

现在所有的 Git 操作(SSH,HTTP/HTTPS)都会通过跳板机访问到 GitHub 服务器。