如何通过企业Istio反向代理实现SSH over HTTPS连接Docker容器？

先明确你的核心问题 #

你之前的命令错误是因为SSH语法不支持在主机名后带路径，example.com/myapp/会被当作完整主机名解析，自然失败。同时Istio是按HTTP路径/myapp/路由流量，而SSH是纯TCP协议，无法直接适配HTTP路由规则，必须通过工具将SSH流量封装为HTTP流量传输。

以下是两种无需额外VM隧道的可行方案：

方案1：使用httptunnel工具（推荐，适配HTTP路径路由） #

httptunnel专门用于将TCP流量封装为HTTP请求，完美匹配Istio的HTTP路径转发规则。

容器端配置 #

1. 在Docker容器中安装httptunnel（根据基础镜像选择包管理器）：

   # Debian/Ubuntu系
   apt-get update && apt-get install -y httptunnel
   # Alpine系
   apk add httptunnel
   

2. 启动隧道服务器，将8080端口的HTTP请求转发到本地2222的sshd：

   hts -F localhost:2222 8080
   

   如果你当前Service暴露的是2222端口，就把命令中的8080换成2222，确保Istio的/myapp/路由指向该端口。

客户端配置 #

1. 本地安装httptunnel（同容器端安装方式）。
2. 启动隧道客户端，将本地1234端口的TCP流量封装为HTTP请求发送到example.com/myapp/：

   htc -P /myapp/ example.com 1234
   

3. 通过本地端口连接容器sshd：

   ssh -i id_rsa -p 1234 10001@localhost
   

方案2：使用socat实现轻量HTTP隧道（无需额外工具依赖） #

如果容器和客户端已预装socat，可以用它直接实现TCP转HTTP的双向转发。

容器端配置 #

启动socat监听8080端口，将HTTP请求转换为TCP流量转发到sshd：

socat TCP-LISTEN:8080,reuseaddr,fork PROXY:localhost:localhost:2222,proxyport=8080,proxyprotocol=http

（若Service暴露2222端口，将TCP-LISTEN:8080改为TCP-LISTEN:2222）

客户端配置 #

通过SSH的ProxyCommand参数，让socat建立SSL连接到example.com:443，并发送匹配/myapp/路径的HTTP请求，同时双向转发SSH流量：

ssh -i id_rsa -o "ProxyCommand=socat - TCP4:example.com:443,openssl-connect,ssl-verify=0,crlf,cmd='GET /myapp/ HTTP/1.1\r\nHost: example.com\r\nConnection: keep-alive\r\n\r\n'" 10001@localhost

为什么你之前的ProxyCommand无效？ #

你尝试的ProxyCommand=nc -X connect -x example.com/myapp/:2222 %h %p存在两个问题：

1. nc的-x参数仅接受host:port格式的代理地址，不能包含路径/myapp/；
2. Istio是按HTTP路径路由，而nc的CONNECT方法是请求代理服务器转发到指定端口，无法匹配/myapp/的路径规则，因此无法被Istio正确路由到你的容器。

内容的提问来源于stack exchange，提问作者slaffy