使用 Cloudflare Zero Trust 通过 SSH 连接到 GitHub Actions 的 Runner 机器以进行调试

GitHub Actions 的 Runner Images 包含了很多常用的开发环境, 使用它来构建一些软件是很方便的.

不过, 构建过程难免会遇到问题, 而在 GitHub Actions 上进行构建和在本地有很多不同之处.

首先 Runner 上的环境复杂, 在本地不易复现, 若是调用了一些外部 Action, 甚至是平台限定的 Action (比如 cache), 就更难处理了;
此外, 整个构建的过程一般来说只能通过编辑 Workflow 的配置文件来修改, 一次运行只能等到工作流执行完毕或者遇到错误而终止, 而不能随心所欲地在过程中执行某些命令观察输出或者影响构建过程; 同时, 能够从外部观察到的, 可以作为参考的, 只有工作流的日志输出, 若是遇到莫名其妙的问题, 单凭日志就很难定位到问题所在.

为此, 我们可能希望能在构建过程中的某处 “暂停” 工作流, 并且能够进入机器详细地观察构建的状态.

可行性

GitHub Actions 的 Runner 具有网络访问性, 并且没有特殊的限制, 因此连接到 Runner 上的想法理论上是成立的.

这里我们使用 Cloudflare 的 Zero Trust 来帮助我们访问到 Runner 机器上的 SSH 服务. 运行 cloudflared 的机器会自动连接到 Cloudflare 的边缘节点, 从而能够代理出机器上的服务, 供用户访问.

要使用 Zero Trust 需要先在 Cloudflare 注册账户, 这里不对此进行展开.

准备 Workflow 文件

首先, 为了方便调试, 我们将设置一个 workflow_dispatch 的触发条件, 这样就可以在 Actions 里手动触发多次 Workflow 了.

安装并配置 SSH Server

其次, 我们需要为 Runner 安装 OpenSSH Server (假设使用的是 Ubuntu):

sudo apt update && sudo apt install -qy openssh-server

并且设置 SSH 的访问权限 (修改 /etc/ssh/sshd_config):

PasswordAuthentication no
ChallengeResponseAuthentication no
Match Address 127.0.0.1PasswordAuthentication yesPermitRootLogin yes

重新装载 sshd.service:

sudo systemctl daemon-reload
sudo systemctl restart sshd --now

以及安装 SSH 公钥 (从 GitHub 拉取自己的 SSH 公钥), 并且确保 ~/.ssh 和 ~/.ssh/authorized_keys 的权限:

mkdir -p ~/.ssh
curl -s "https://api.github.com/users/$GITHUB_ACTOR/keys" | jq -r '.[].key' > ~/.ssh/authorized_keys
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

安装 `cloudflared`

之后我们安装 cloudflared 并连接到 Tunnel: 这个动作需要 connect token, 在后边创建 Tunnel 的时候会获取到, 这里我们先写好 “占位符”, 并在之后添加到 Repo Secret, 进而传递到 Workflow, 并通过环境变量在 Shell 中使用:

jobs:build:name: Buildruns-on: ubuntu-lateststeps:- name: Connect to Cloudflare Tunnelenv:CLOUDFLARE_TUNNEL_TOKEN: ${{ secrets.CLOUDFLARE_TUNNEL_TOKEN }}run: |curl -L --output cloudflared.deb https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.debsudo dpkg -i cloudflared.debsudo cloudflared service install $CLOUDFLARE_TUNNEL_TOKEN

阻塞构建进程

最后, 我们使用 alexellis/block-with-tmux-action 这一 Action, 放置在需要 “暂停” 的地方; 这个 Action 将会安装 tmux 并阻塞构建过程.

jobs:build:name: Buildruns-on: ubuntu-lateststeps:- name: Setup a blocking tmux sessionuses: alexellis/block-with-tmux-action@master

综上, 整个 Workflow 文件类似如下:

name: Debug Build
on:workflow_dispatch:jobs:build:name: Buildruns-on: ubuntu-lateststeps:- name: Checkoutuses: actions/checkout@v3- name: Setup SSH server for Actorrun: |sudo apt update && sudo apt install -qy openssh-serverecho "PasswordAuthentication no" | sudo tee -a /etc/ssh/sshd_configecho "ChallengeResponseAuthentication no" | sudo tee -a /etc/ssh/sshd_configecho 'Match Address 127.0.0.1'        | sudo tee -a /etc/ssh/sshd_configecho '    PasswordAuthentication yes' | sudo tee -a /etc/ssh/sshd_configecho '    PermitRootLogin yes'        | sudo tee -a /etc/ssh/sshd_configsudo systemctl daemon-reloadsudo systemctl restart sshd --nowmkdir -p ~/.sshcurl -s "https://api.github.com/users/$GITHUB_ACTOR/keys" | jq -r '.[].key' > ~/.ssh/authorized_keyschmod 700 ~/.sshchmod 600 ~/.ssh/authorized_keys- name: Connect to Cloudflare Tunnelenv:CLOUDFLARE_TUNNEL_TOKEN: ${{ secrets.CLOUDFLARE_TUNNEL_TOKEN }}run: |curl -L --output cloudflared.deb https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.debsudo dpkg -i cloudflared.debsudo cloudflared service install $CLOUDFLARE_TUNNEL_TOKEN- name: Setup a blocking tmux sessionuses: alexellis/block-with-tmux-action@master