使用 ZTM 防护未修复的 OpenSSH 漏洞
内容提要
OpenSSH存在安全漏洞CVE-2024-6387，建议使用ZTM来保护受影响的主机并保持SSH访问的连续性。ZTM解决方案涉及在受影响的主机上运行ZTM Agent，在安全主机上运行ZTM Hub。文章提供了在两个主机上安装和配置ZTM、创建隧道以及关闭受影响主机上的公共SSH访问的逐步说明。ZTM是一个开源的分散式网络基础设施软件，提供隧道、加密通信、身份认证和分散式应用部署等功能。Flomesh是ZTM背后的公司，他们基于高性能可编程代理Pipy提供其他软件产品。
延伸解读
临时缓解的价值与适用场景
当 OpenSSH 的 CVE-2024-6387 漏洞无法及时修复，或担心升级带来业务中断时，ZTM 提供了一种快速屏蔽风险的思路。它不修改 SSH 服务本身，而是通过隧道隐藏服务，使攻击面从公网收缩到隧道内部。这种方法适合需要维持 SSH 连续访问、又无法立即打补丁的环境，但需注意它只是缓解措施，不能替代根本性的漏洞修复。
部署架构与关键步骤
方案在受影响主机 A 上运行 ZTM Agent，在安全主机 X 上运行 ZTM Hub，并将 A 的 Agent 注册到 Hub，建立 X 到 A 的隧道。随后将 A 的 sshd 监听地址改为 127.0.0.1，关闭公开 SSH 访问。这样管理员只能通过 X 主机经隧道访问 A，其他扫描和暴力破解无法直接触达 A 的 SSH 端口。实施时需确保 permit 文件安全传递，并验证隧道连通性。
ZTM 的能力与适用范围
ZTM 是开源的去中心化网络基础设施软件，基于 HTTP/2 隧道，支持内网穿透、TLS 加密通信、基于证书的身份验证和访问控制等功能。它可运行在 LAN、容器网络和互联网等 IP 网络上，支持 x86、ARM、MIPS、RISC-V、LoongArch 等 CPU 架构以及 Linux、Windows、macOS、FreeBSD、Android 等操作系统。其规模可从 2 节点个人网络扩展到 10000 节点企业网络。
实施注意事项与局限
该方案要求额外维护 ZTM Hub 和 Agent，并依赖隧道可用性。关闭 A 的公开 SSH 后，所有访问必须经过 ZTM 隧道，因此需确保 Hub 的稳定性和安全性。此外，文章未涉及 ZTM 自身的漏洞管理或性能影响，在生产环境部署前应评估这些因素。对于无法安装额外软件或严格限制第三方工具的环境，此方案可能不适用。
Q&A
CVE-2024-6387是什么漏洞？
CVE-2024-6387是OpenSSH的一个安全漏洞，可能导致未修复的主机面临安全风险。
如何使用ZTM保护受影响的主机？
可以在受影响的主机上运行ZTM Agent，并在安全主机上运行ZTM Hub，以建立安全的SSH访问。
ZTM的主要功能是什么？
ZTM提供隧道、加密通信、身份认证和分散式应用部署等功能，支持多种设备和操作系统。
如何在主机A上安装ZTM Agent？
下载合适版本的ZTM，解压后将可执行文件拷贝到/usr/local/bin/，然后运行命令启动Agent。
ZTM Hub和Agent的安装有什么不同？
ZTM Hub和Agent使用相同的可执行文件，但启动时需要不同的参数，Hub需要额外的配置。
Flomesh公司是什么？
Flomesh成立于2018年，研发了高性能可编程代理Pipy，并提供其他软件产品，是可信云产品的认证公司。
