Tunelowanie

[MC']

Witam,

 

Załóżmy, że mam trzy komputery:

A - moj komputer gdzieś w sieci

B - komputer-serwer w sieci o określonej puli adresowej (powiedzmy jakiś MAN) "otwarty na świat"

C - serwer w sieci w której jest komputer B ale serwer który daje swoje usługi tylko dla tej sieci (puli adresów).

 

W jaki sposób mogę uzyskać dostęp do komputera C z komputera A majęc konto na komputerze B i znając adres komputera C oraz nr portu potrzebnej usługi udostępnionej na nim ?

 

Oczywiście zakładamy, że wszystko pracuje na linuksie a A nawet na fedorce

Z góry dziękuję za odpowiedzi

 

Pozdr

 

 

[uosiu]

ssh -p port -l nazwa usrera MASZYNA B

na B wykonujesz to samo ale z ip C

[MC']

ssh -p port -l nazwa usrera MASZYNA B

Rozumiem, że to mam wykonać z A. Jeśli tak to to nie zadziała bo -p <port> nie jest otwarty na maszynie B tylko C. A nie ma co liczyć że jest on tak sobie otwarty na B.

 

na B wykonujesz to samo ale z ip C

 

No tak tylko wtedy muszę być zalogowany na maszynie B a co gdybym nie chciał? Wystarczy jak zrobię na B ssh -p <port> -l <user> Maszyna_C & czyli wrzucę go do tła i się wyloguję z B? Tzn potem przy kolejnej próbie wystarczyć będzie jak się zaloguję na mszynę B?

 

[uosiu]

ssh z B do C musisz wrzucic w screena bo inaczej nie przywolasz.

 

screen -S ssh KOMENDA

screen -r ssh #przywolujesz na ekran

[andrew]

Witam!

man ssh

 

 

ssh -L port_na_maszynie_A:ip_maszyny_C:port_na maszynie_C <login_na_B>@ip_mszyny_B

 

 

po zalogowaniu na B, na lokalnym porcie na maszynie A masz usługę z maszyny C

 

 

Pozdrowienia, andrew

[MC']

ssh -L port_na_maszynie_A:ip_maszyny_C:port_na maszynie_C <login_na_B>@ip_mszyny_B

 

Ok tak działa ale mam coś takiego (musi być z roota?):

[user@maszyna_A]$su

[root@maszyna_A]#ssh -L port_na_maszynie_A:ip_maszyny_C:port_na maszynie_C <login_na_B>@ip_mszyny_B

The authenticity of 'domena.maszyny.B (ip_mszyny_ ' can't be established.

DSA key fingerprint is da:3f:27:f6:d9:46:da:ce:0d:51:56:d3:cc:63:24:33.

Are you sure you want to continue connecting (yes/no)? y

Please type 'yes' or 'no': yes

Warning: Permanently added 'domena.maszyny.B,ip_mszyny_B' (DSA) to the list of known hosts.

[[email protected]]~

Pyania:

1.Co oznacza i jakie ma konsekwencje wpis o dodaniu maszyny B do listy znanych hostów?

2. Czy powinienem i ja usunąć te dane z pkt1.

3. Po wykonaniu tych poleceń dostaje shell'a z maszyny B. Czy zakończenie tego połączenia (exit) oznacza że tunelowanie zostało zakończone?

4. Tunelowanie wykonuje z pod root czy postępując wg tego algorytmu tj tak tworząc tunel i kończąc go mogę sobie zostawić w systemie jakąś otwrtą dziurę?

 

Z góry dziękuję za odpowiedzi.

 

Pozdr

 

[jjj]

Nie loguj sie z zewnatrz przez ssh na roota chyba ze dobrze wiesz co robisz. Ja tam w ogóle wylaczam mozliwosc logowania roota via ssh. ssh jako zwykly user i su wewnatrz.

Przy pierwszym logowaniu pobierasz klucz publiczny z kompa na który sie logujesz. To jest wlasnie owo

The authenticity of 'domena.maszyny.B (ip_mszyny_B) ' can't be established.
DSA key fingerprint is da:3f:27:f6:d9:46:da:ce:0d:51:56:d3:cc:63:24:33.
Are you sure you want to continue connecting (yes/no)?

wpisuje sie toto do ~/.ssh/known-hosts, osobno dla kazdego usera oczywiscie. No i w ogóle RTFM.

[MC']

Nie loguj się z zewnątrz przez ssh na roota chyba że dobrze wiesz co robisz.

 

A jak inaczej skoro dostaje komunikat:

$ ssh -L  22:ip_maszyny_C:22 <login_na_B>@ip_mszyny_B
Privileged ports can only be forwarded by root.

?

A jak blokujesz tą możliwość?

[MonteChristo]

etc/ssh/sshd_config

 

linijka

 

ochaszowac i zamienic:

#PermitRootLogin YES

na

PermitRootLogin NO

i wszystko

 

a'propos twoje rozwiazanie z tunelowaniem to troche archaiczne, ja bym postawil serwer VPN na jednej maszynie

i reszte do niej dolaczyl, wtedy masz wszystko w jednej sieci, czyli mozesz kozystac z dowolnych uslug.

 

Pozdrawiam

[MC']

etc/ssh/sshd_config

 

linijka

 

ochaszowac i zamienic:

#PermitRootLogin YES

na

PermitRootLogin NO

i wszystko

U mnie nie stoi serwer ssh więc nie mam się co tak zabezpieczać ale fakt ważne gdybym takowy chciał postawić.

 

a'propos twoje rozwiazanie z tunelowaniem to troche archaiczne, ja bym postawil serwer VPN na jednej maszynie

i reszte do niej dolaczyl, wtedy masz wszystko w jednej sieci, czyli mozesz kozystac z dowolnych uslug.

A mógłbyś rozwinąć bo nie wiem, na której maszynie miałbym stawiać (Virtual Private Network?)