Dotaz: Presmerovani pouze nekterych portu pres SSH

[tcp]

Potreboval povolit uzivateli presmerovani pouze urcenych portu pres SSH.

Na serveru jsem dal do /etc/sshd/sshd_config :

...
AllowTcpForwarding no
AllowUsers pokus
Match User pokus
 AllowTcpForwarding yes
 X11forwarding no
 PermitOpen 192.168.1.59:1234

Nyni, kdyz se pripojim z klienta ssh -R 1234:192.168.1.1:80 pokus@192.168.1.59 tak to funguje.

Kdyz si ale klient presmeruje jiny port, tak to taky funguje: ssh -R 1235:192.168.1.1:80 pokus@192.168.1.59

Jak to mam klientovi zakazat?

Server:
192.168.1.59
Debian 5
OpenSSH_5.1p1 Debian-6ubuntu2, OpenSSL 0.9.8g 19 Oct 2007

Odpovědi

[pepazdepa]

ti nevim ale me to funguje jak ma, zkousel jsem ale 'ssh -L ...' :) tunnel na jinej host je:

$ channel 3: open failed: administratively prohibited: open failed
channel 3: open failed: administratively prohibited: open failed
channel 3: open failed: administratively prohibited: open failed
channel 3: open failed: administratively prohibited: open failed

[Robbie]

protoze dle manualu to funguje jen pro ssh -L presmerovani ..

permitopen=host:port Limit local "ssh -L" port forwarding such that it may only connect to the specified host and port. IPv6 addresses can be specified with an alternative syntax: host/port Multiple permitopen options may be applied separated by commas. No pattern matching is performed on the specified hostnames, they must be literal domains or addresses.

[pepazdepa]

a jakej to je manual? v sshd_config mam trochu jiny text :)

[pepazdepa]

man sshd uz to vidim ;)

[tcp]

Jak to mam teda udelat u ssh -R ?

[pepazdepa]

a co to ma presne udelat? -R je, ze se na remote serveru bindne port (pro uzivatele > 1024) a pristup na tento remote port je presmerovat na klienta.

takze pokud mas na remote serveru FW, tak si nemuzes nekdo udelat z remote serveru tunnel do treba lanky za natem.

jinak toto omezeni nema vubec smysl, kdyz uzivateli nechas shell, si tam muze rozjet netcat a dalsi srandy...

[tcp]

Na serveru chci mit rozsah portu 1500 az 1600. Budu mit 100 uzivatelu a kazdy si bude 1 port z tohoto rozsahu presmerovavat na svuj webserver (port 80, neverejna IP).

Problem je , jak kazdemu uzivateli povolit pouze 1 konkretni port. Nechci, aby si jeden uzivatel presmeroval treba 10 portu, nebo jine porty, nez muze. Predstavuju si to asi takhle:

uzivatel   port
a          1501
b          1502
c          1503
...

A jiny port nesmi pouzit. Jak to nejlepe realizovat?

[pepazdepa]

a proc na to nepouzijes FW?

jinak pro presmerovani webu je dobry apache proxy, nekde zada treba www.example.com/i/user a apache bude preposilat pozadavky treba na user.int webserver s vnitrni IP.

[tcp]

Ty pocitace nebudou ve vnitrni siti za serverem. Na server se budou pripojovat pres Internet.

Na web je apache dobry, ale co kdyz budu chtit presmerovat neco jineho (ssh, smtp, ...)? Jak by se to dalo resit pomoci firewallu?

[pepazdepa]

to vypada jako pekne uhozeny reseni :) k cemu je dobre presmerovavat porty z verejny IP na jinou verejnou IP?

ok, myslim, ze rinetd by to zvladl...

pokud jde o maskovani skutecnych klientu za verejnou IP jednoho serveru, tak to pro ty klienty rozjed VPNku a udelej portforwarding do VPN a budes mit ten portforwarding i sifrovany.

[tcp]

Příloha:

• net.png (9584 bytů)

to vypada jako pekne uhozeny reseni :) k cemu je dobre presmerovavat porty z verejny IP na jinou verejnou IP?

Prave ze ne, je to videt na obrazku.

1. Je lepsi tu VPN udelat pres OpenVPN, nebo na to staci ssh?
2. Jaky vyhody/nevyhody ma VPN pres ssh?
3. Jde nejak sjednotit prihlasovani k OpenVPN a ssh pomoci jednoho klice?

[pepazdepa]

1. precti si jak se dela VPN pres ssh '-w' a pak porovnej :) jine VPN jsou evidentne jednodussi na nastaveni
2. VPN - jednodussi setup pro Windoze, putty neumi VPN mode a jeste by to chtelo asi tap driver z OpenVPN projektu
3. tezko

[tcp]

protoze dle manualu to funguje jen pro ssh -L presmerovani ..

Jaky vyznam ma omezovani pro -L presmerovani?