Pohádka o tunelování ssh přes dva NATy (diskuse)

[outsider]

... ale také měla povolený sshd port forwarding.

Hmmmm, tak tohle je to mocne kouzlo, ktere otevira dvirka k princeznam a ze zajimave pohadky dela tuctovou historku

[Josef Kufner]

Hloupý honza objeví kouzelného dědečka zvaného init a naučí se používat jeho kouzlo respawn, bude mlátit hlavou o zeď a démona pošle zpět do hlubin

[Josef Kufner]

Až ...

[Georgius]

No jo, ale když drak Paketožrout bude žrát třeba hodinu všechny pakety, tak se celou dobu bude snažit init obnovit spojení (což se mu nebude dařit), pan král se podívá do logů a uvidí, že se děje něco móóć divného, copak to tam ta princezna má za skriptík, půjde, podívá se a vytahá princeznu za uši. To ale nechceme. Jednou za hodinu je uvěřitelné, že to dělá princezna sama ... Navíc, když se objeví Paketožrout, tak se vnitřní síť hradu začíná chovat více než podivně a samozřejmě se to pak hodí na princeznu, že tam dělá bordel ...

[Josef Kufner]

Ono init není zas tak hloupý a když v tom skriptíku nějak pořešíš ono čekání... Třeba pokud se pingne do cíle, tak to zkus a když ne, tak chvíli počkej...

[Georgius]

No to je koneckonců pravda, to by stálo za úpravu ... možná to pak upravím aby to tak bylo. On v podstatě rozdíl je jen v eleganci řešení (což init je elegantnější, neříkám, že ne) a v tom, že se to zavolá opravdu jen když se rozpadne spojení. Na druhou stranu takhle se 1x za hodinu udělá ps|grep|sed, což na mém Core2Duo @1.8 GHz trvá zhruba 20-30 ms (a princezna má lepší počítač než já), takže je to ztráta výkonu, která se dá tolerovat

[Josef Kufner]

V nejlepším případě to bude trvat jen 20ms, ale v nejhorším budeš hodinu bez spojení.

[Georgius]

Nebo můžu testovat každých 10 min s vědomím, že se připravuji skoro o 5s výpočtu jednoho z jader za den . Ach jo, ty rejpavý lidi, ty mě snad donutíš to vymyslet ... Nebo víš řešení zpaměti ?

[Georgius]

a ještě k tomu bububunťáci zrušili /etc/init.tab ((

[Josef Kufner]

#!/bin/bash
 
if ping chaloupka -c 1
then
   exec ssh chaloupka ...
else
   exec sleep 60
fi

Jakmile tohle skonci, init to respawne. Jakmile chcipne ssh, okamzite se zkusi pingem, zda je sit ok a pokud ano, okamzite se to znovu pripoji. Pokud ping neprojde, pocka se minutu a zkusi se to znovu.

[Georgius]

díky, už jsem vymyslel něco komplikovanějšího, tohle se mi líbí, je to takové elegantní (já jsem testoval packetloss na 10 paketech). Problém je, že právě zvracím nad Ubuntím řešením inittabu. To je prasárna ... bleeeh, zlatej Slackware. Toho idiota co vymyslel upstart dostat do ruky ...

[Georgius]

Tak jsem ten upstart pochopil, fuj to je ale chujovina. Při testování jsem zjistil, že toto elegantnější řešení je méně robustní než moje původní. Pokud je totiž dostatek smůly (a známe Murphyho zákony) tak spoj spadne mezi úspěšným pingem a spuštěním ssh. A ssháčko zůstane viset a bude čekat a čekat a čekat ... takže mu musíme ještě přidat pár parametrů:

if ping $whereToLog -c 1
then
   logger "sshd to $whereToLog (re)starting"
   ssh -R $remoteport:`uname -n`:$localport $remoteuser@$whereToLog -n -N -o ConnectTimeout=30 ConnectionAttempts=1
else
  logger "Link to $whereToLog too bad, respawn within 1 minute"
  exec sleep 60
fi

[disorder]

este sa skus pozriet na autossh, nikdy som to nepouzil, ale myslim, ze take nieco hladas :)

[Josef Kufner]

No jasně, takovéhle drobnosti jsem neřešil... a tomu pingu by to nejaky rozumny timeouty taky chtelo nastavit.

[Radek Hladik]

Měl jsem pocit, že tohle už dělá autossh. Ale každopádně ta openVPNka je opravdu hodně jednoduchá, v případě dvou konců vysloveně triviální...

[CET]

Muzu potvrdit, ze jsem si taky delal tunelovani SSHckem (tuneloval jsem si spojeni na httpproxy). Bohuzel to opravdu stabilni nebylo, nemel jsem sice vyreseny restartovani, ale docela to byl hnusnej pristup.

Muzu ale potvrdit, ze openVPN je opravdu jednoducha. A pokud se nepletu, slo by mozna openVPN tlacit primo bez nutnosti dalsiho stroje pomoci UDP NAT traversalu (nezkousel jsem). A dalsi vyhoda bude, ze tunel bude oboustranny a pro vsechny protokoly (cili ne pouze ssh s ytalkem), ale jednodusse i treba VNC, samba, http atd.

Jinak ytalkovat je trosku podivne v dnesni dobe Jabber, ICQ, Skype a dalsi IM reseni

[Georgius]

Mám už to tak udělaný, a docela to drží (a až to spadne, tak se to resetne ). Když budu náhodou potřebovat procpat něco dalšího (VNC,samba,http), tak to pustím tímtéž/sousedním tunelem ... Tím že je to takhle, tak mi to přijde o něco bezpečnější a navíc se můžu do chaloupky přihlásit odkudkoliv, takže je to univerzálnější. Co se týče ytalku, tak je to (při komunikaci dvou lidí, co mají účet na stejném stroji) nejbezpečnější řešení co znám, v podstatě ekvivalentní puštění místního jabber serveru. ICQ,Skype či Jabber.cz Honza nepoužije, protože není hloupý a nebude chtít, aby někdo zvenku (ať už v USA nebo v ČR) mohl číst co si s princeznou píše

[CET]

Honza bohuzel hloupy je, kdyz nezna PGP, resp. GnuPG a neumi si do PSI (nebo jineho Jabber klienta s podporou GPG) pridat klic. Sifrovani komunikace pak probiha velmi bezpecnym zpusobem od odesilatele az k prijemci a neni nikde cestou dekodovana Ale to jen pro uplnost, abys vedel, ze s Jabberem se da komunikovat 100% bezpecne. A tim nemyslim zrizovani vlastniho jabber serveru.

Jinak ytalk jsem taky videl, ale do hloubky jsem ho nezkoumal, takze nemuzu uplne jiste prohlasit, jestli by se treba nedal ytalk nejak podfouknout a nezobrazoval komunikaci nejake treti osobe

Jinak souhlasim, ze tunel pres SSH je ten nejjednodussi, co se nahozeni tyka, proste parametr -L (LocalForward) nebo -R (RemoteForward). Nevyhoda je bohuzel nutnost uctu v systemu. Pro obecnejsi reseni je lepsi VPN.

Co se vzdaleneho prihlasovani tyka, osobne bych se pres ssh neprihlasoval z cizich kompu (cili ne "odkudkoliv"), jeste tak v pripade pouziti jednorazovych hesel. Ale to plati i v pripade pouziti Jabber klienta i kdyz treba se zaheslovanym GnuPG klicem na USB flash disku.

Vyhodu v jabberu vidim v tom, ze tak muzu pomoci stejneho protokolu a programu komunikovat i s dalsimi lidmi.

[frEon]

luxusni pohadka . skoda ze kdyz jsem byl malej, tak mi nikdo takovyhle pohadky nevypravel ....