sshroute

CI	Code	OpenSpec	Security

Enrutador SSH consciente de la red. Detecta tu red activa o VPN y selecciona automáticamente el host, puerto, archivo de identidad y host de salto correctos para cada conexión SSH, sin tocar ~/.ssh/config.

Cómo funciona

Define cada host lógico una vez con un perfil default anidado y opcionales anulaciones por red. En cada conexión, sshroute detecta en qué red estás (VPN, LAN de oficina, par WireGuard, etc.) y resuelve los parámetros SSH correctos antes de pasar el control al /usr/bin/ssh real.

ssh myserver
  → sshroute detecta: corp-vpn está activa
  → resuelve: 10.100.0.50:2222 vía bastion.corp.internal
  → exec /usr/bin/ssh -p 2222 -i ~/.ssh/corp_key -J bastion.corp.internal 10.100.0.50

¿Por qué sshroute?

Para entusiastas de homelab

Tu laboratorio probablemente tiene al menos dos realidades: o estás en casa en la LAN, o estás fuera y te conectas a través de WireGuard u otra VPN. El problema es que ~/.ssh/config no sabe en cuál estás, así que terminas con alias separados (server-lan, server-vpn), o un host de salto que solo funciona la mitad del tiempo, o simplemente memorizas direcciones IP.

sshroute soluciona esto detectando tu red actual antes de cada conexión. Cuando la interfaz WireGuard está activa y la ruta del par existe, se conecta directamente a la IP del túnel. Cuando estás en la LAN, usa la dirección local. Cuando ninguna es alcanzable, recurre al nombre de host público. Un alias, tres realidades, cero cambios manuales.

También intercepta SSH de manera transparente: git push, rsync, scp — todo pasa a través de él automáticamente una vez que configuras el modo sombra. Sin envoltorios, sin funciones de shell, sin pensar.

Para entornos corporativos

Las redes empresariales son peores. Tienes la internet pública, tal vez una VPN sitio a sitio, tal vez una VPN personal con split-tunnel, y dentro de eso diferentes hosts de salto según el entorno al que apuntes — desarrollo, staging, producción, cada uno con su bastión y clave. Mantener esto en orden en ~/.ssh/config significa o un archivo enorme que se rompe cada vez que cambia la infraestructura, o escribir un script que todos en el equipo mantienen de manera diferente.

sshroute te permite definir la lógica de enrutamiento de forma declarativa, mantenerla en un archivo YAML versionado y compartirla con el equipo. La misma configuración funciona para todos: la red correcta se detecta automáticamente según qué interfaces o rutas están activas en cada máquina. Las claves, puertos, usuarios y hosts de salto se resuelven sin que el usuario tenga que pensar en ello.

Comparativa

Característica	~/.ssh/config	Solo WireGuard	Teleport / Boundary	sshroute
Detecta tu red actual	❌	❌	❌	✅
Elige la mejor ruta automáticamente	❌	❌	❌	✅
Reintenta en caso de fallo de conexión	❌	❌	✅	✅
Reconexión automática + reenrutamiento al caer	❌	⚠️ el túnel vaga	⚠️ a través de proxy fijo	✅
Un comando por host, desde cualquier ubicación	❌	⚠️ VPN debe estar activa	✅	✅
Tamaño de configuración para 10 hosts × 4 rutas	📄 ~600 líneas	📄 ~600 líneas + config VPN	📄 configuración del lado servidor	📄 ~60 líneas
Dispositivos móviles en itinerancia	⚠️ alias manuales	⚠️ VPN requerida	✅	✅
Encadenamiento automático de host de salto	⚠️ manual -J	➖ n/a	✅	✅
Funciona con scp / rsync / git / Ansible	✅	✅	⚠️ parcial	✅
Sin instalación en el servidor en los destinos	✅	❌	❌	✅
Sin servidor de autenticación ni demonio	✅	❌	❌	✅
Sin agente cliente	✅	❌	❌	✅
Código abierto, completamente autogestionado	✅	✅	⚠️ open-core	✅

Teleport y Boundary son una categoría diferente: añaden control de acceso, registros de auditoría y autenticación basada en certificados sobre el enrutamiento. Si eso es lo que necesitas, úsalos. sshroute es para cuando quieres la inteligencia de enrutamiento sin la sobrecarga operativa de ejecutar un servidor de autenticación central.

Instalación

Descarga del binario

Descarga la última versión desde GitHub Releases. Hay binarios disponibles para Linux, macOS y Android en AMD64 y ARM64.

Instalación con Go

go install github.com/thereisnotime/sshroute@latest

Android (Termux)

Descarga el tarball android_arm64 desde GitHub Releases, extráelo y coloca el binario en ~/.local/bin:

mkdir -p ~/.local/bin
curl -Lo "$TMPDIR/sshroute.tar.gz" \
  https://github.com/thereisnotime/sshroute/releases/latest/download/sshroute_android_arm64.tar.gz
tar -xzf "$TMPDIR/sshroute.tar.gz" -C ~/.local/bin sshroute
chmod +x ~/.local/bin/sshroute