abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

včera 20:11 | Zajímavý software

Alexandre Julliard oznámil jménem vývojového týmu Wine vydání první verze 1.0 knihovny vkd3d určené pro překlad volání Direct3D 12 na Vulkan. Zdrojové kódy vkd3d jsou k dispozici pod licencí LGPLv2.1+.

Ladislav Hagara | Komentářů: 1
včera 19:33 | Komunita

Dnešním dnem lze účet Firefoxu chránit dvoufázovým ověřováním (2FA). Implementován byl standard TOTP (Time-based One-Time Password).

Ladislav Hagara | Komentářů: 0
včera 15:17 | Pozvánky

Od pátku 25. 5. proběhne na Fakultě informačních technologií ČVUT v Praze openSUSE Conference. Můžete se těšit na spoustu zajímavých přednášek, workshopů a také na Release Party nového openSUSE Leap 15.0. Na stejném místě proběhne v sobotu 26. 5. i seminář o bezpečnosti CryptoFest.

Jendа | Komentářů: 0
včera 13:33 | Zajímavý software

Drawpile je svobodný multiplatformní program pro kreslení podporující společné kreslení několika uživatelů. Zdrojové kódy jsou k dispozici na GitHubu pod licencí GPLv3+. Drawpile i Drawpile Server jsou ke stažení také ve formátu AppImage. Stačí tedy nastavit právo na spouštění a spustit.

Ladislav Hagara | Komentářů: 0
včera 09:44 | Zajímavý software

Kalifornskému Muzeu počítačové historie (Computer History Museum) se po pěti letech vyjednávání se společností Qualcomm podařilo získat veškerá práva na poštovního klienta Eudora (Wikipedie), tj. kromě zdrojových kódů muzeum získalo také ochranní známku Eudora nebo domény eudora.com a eudora.org. Po pročištění byly zdrojové kódy Eudory uvolněny pod licencí BSD.

Ladislav Hagara | Komentářů: 4
22.5. 15:00 | Nová verze

Byla vydána nová stabilní verze 5.11 toolkitu Qt. Přehled novinek v příspěvku na blogu a na wiki stránce. Další dnešní příspěvek na blogu Qt je věnován Qt pro WebAssembly umožňujícímu běh Qt aplikací ve webovém prohlížeči. K vyzkoušení jsou příklady.

Ladislav Hagara | Komentářů: 0
22.5. 12:22 | Nová verze

Po 7 měsících vývoje od verze 0.12.0 byla vydána verze 0.13.0 hardwarově nenáročného desktopového prostředí LXQt (Lightweight Qt Desktop Environment, Wikipedie) vzniklého sloučením projektů Razor-qt a LXDE. Přehled novinek v oznámení o vydání a v příspěvku ve fóru.

Ladislav Hagara | Komentářů: 20
22.5. 12:11 | Pozvánky

V úterý 29. května v 18:00 se v Brně koná pátý přednáškový večer o webovém vývoji. Čeká vás povídání o frameworku v Elixiru, vydávání nové kryptoměny přes ICO, component trees v Reactu. Na místě bude lehké občerstvení; vstup zdarma pro registrované. Více informací na Facebooku nebo se rovnou registrujte na Meetup.

dejvik | Komentářů: 0
22.5. 12:00 | Pozvánky

V pátek 25. května 2018 v Praze proběhne společné setkání komunity kolem Drupalu a překladatelů softwaru – tématem bude právě lokalizace svobodného softwaru (nejen Drupalu). Program začíná v 9.30 v budově Českého rozhlasu (Vinohradská 12), ale můžete přijít i později během dne.

Fluttershy, yay! | Komentářů: 0
22.5. 06:55 | Zajímavý software

Operační systém 9front, zřejmě nejaktivněji vyvíjený neoficiální fork systému Plan 9 (více informací), se dočkal nové verze nazvané „Ghost in the Minesweeper Shell“. K novým vydáním obvykle dochází každé jeden až tři měsíce.

Fluttershy, yay! | Komentářů: 0
Používáte pro některé služby inetd?
 (34%)
 (23%)
 (43%)
Celkem 149 hlasů
 Komentářů: 5, poslední 22.5. 16:46
    Rozcestník

    Reverzní SSH tunel

    12.6.2015 19:34 | Přečteno: 1445× | Debian | Výběrový blog | poslední úprava: 13.6.2015 10:47

    Návod jak vytvořit reverzní SSH tunel, s tím, že se uživateli, který tento tunel vytváří, zakáže vše ostatní. Může se hodit např. při administraci notebooků kamarádů, kteří chtějí vyřešit nějaký problém, ale nemají zrovna veřejnou IP.

    Vytvoříme nového uživatele sshforward, kterému nedovolíme logování pomocí hesla a login shell nastavíme na nologin. Poté nastavíme jako vlastníka, jeho domovského adresáře, uživatele root.

    server# adduser --shell /usr/sbin/nologin --disabled-password sshforward
    server# chown root.root /home/sshforward
    

    Promažeme domovský adresář.

    server# cd /home/sshforward
    server# find -mindepth 1 -delete
    

    Vytvoříme adresář pro uložení veřejných klíčů a nakopírujeme do něj veřejný klíč pro uživatele sshforward. Do cílového souboru můžeme přidat větší množství veřejných klíčů, pokud chceme, aby reverzní tunel mohlo vytvářet více různých uživatelů.

    server# mkdir /etc/ssh/authorized_keys
    server# cp id_ed25519.pub /etc/ssh/authorized_keys/sshforward
    

    Povolíme pouze přihlašování pomocí klíčů. Dále omezíme možnosti uživatele sshforward, který bude moci pouze vytvořit reverzní tunel na libovolném portu (když nepočítám ty privilegované <=1023), přesměrovat se na localhost:22 serveru (toto pravidlo omezuje i dynamické přesměrování portů). A zavřeme ho do chrootu.

    server# vim /etc/ssh/sshd_config
    RSAAuthentication yes
    PubkeyAuthentication yes
    ChallengeResponseAuthentication no
    PasswordAuthentication no
    UsePAM no
    
    Match Group sshforward
       AuthorizedKeysFile /etc/ssh/authorized_keys/%u
       ChrootDirectory %h
       ForceCommand /usr/sbin/nologin
       AllowTcpForwarding yes
       AllowAgentForwarding no
       PermitTunnel no
       PermitTTY no
       GatewayPorts no
       X11Forwarding no
       PermitOpen localhost:22
    

    Restartujeme SSH server.

    server# service ssh restart
    

    Vytvoříme reverzní tunel na portu 5022.

    notebook$ autossh -M 0 -o "ServerAliveInterval 10" -o "ServerAliveCountMax 3" -N -R 5022:localhost:22 sshforward@server
    

    Zkusíme se připojit ze serveru na notebook.

    server$ ssh -p 5022 username@localhost
    

    Na serveru můžeme zahazovat všechny odchozí pakety uživatele sshforward, na reverzní tunel to nemá vliv a zařídíme tím ještě větší omezení možností uživatele sshforward.

    server# iptables -I OUTPUT -m owner --uid-owner sshforward -j DROP
    

    Otestujeme zda-li fungují naše omezení.

    notebook$ ssh sshforward@server
    PTY allocation request failed on channel 0
    Could not chdir to home directory /home/sshforward: No such file or directory
    /usr/sbin/nologin: No such file or directory
    Connection to server closed.
    
    notebook$ sftp sshforward@server
    Couldn't read packet: Connection reset by peer
    
    notebook$ ssh sshforward@server date
    Could not chdir to home directory /home/sshforward: No such file or directory
    /usr/sbin/nologin: No such file or directory
    
    notebook$ ssh -N -D 8080 sshforward@server
    channel 1: open failed: administratively prohibited: open failed
    notebook$ curl -I --socks5 localhost:8080 http://mojeip.cz
    curl: (7) Failed to receive SOCKS5 connect request ack.
    
    notebook$ ssh -N -L 8080:mojeip.cz:80 sshforward@server
    channel 1: open failed: administratively prohibited: open failed
    notebook$ curl -I localhost:8080
    curl: (52) Empty reply from server
    
    notebook$ ssh -N -L 2222:localhost:22 sshforward@server
    channel 1: open failed: administratively prohibited: open failed
    notebook$ ssh -p 2222 localhost
    ssh_exchange_identification: Connection closed by remote host
    

    Budu rád za případné podnětné připomínky v diskuzi na toto téma.

    Zdroje:

           

    Hodnocení: 100 %

            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    13.6.2015 09:17 pavele
    Rozbalit Rozbalit vše Re: Reverzní SSH tunel
    A nestačilo by na straně serveru neupravovat ssh-server a přidat do uživatele sshforward klíč:

    no-agent-forwarding,no-X11-forwarding,no-user-rc,no-pty,command="read a; exit" ssh-rsa AAAB3N.....
    Fuky avatar 13.6.2015 10:58 Fuky | skóre: 52 | blog: 4u
    Rozbalit Rozbalit vše Re: Reverzní SSH tunel

    Cíl byl, omezit uživatele sshforward, pokud možno co nejvíce, včetně uzavření do chrootu.

    Jendа avatar 13.6.2015 13:30 Jendа | skóre: 74 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: Reverzní SSH tunel
    command="read a; exit"
    SHELLSHOCK (takhle mi vyownovali server chvilku po publikaci, ještě než byl v repozitáři opravený bash)
    Tohle (mirror) podporujete.
    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.