abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 15:44 | Nová verze

Byla vydána beta verze Linux Mintu 20.2 s kódovým jménem Uma. Na blogu Linux Mintu jsou hned tři oznámení. První o vydání Linux Mintu s prostředím Cinnamon, druhé o vydání Linux Mintu s prostředím MATE a třetí o vydání Linux Mintu s prostředím Xfce. Stejným způsobem jsou rozděleny také poznámky k vydání (Cinnamon, MATE, Xfce) a přehled novinek s náhledy (Cinnamon, MATE, Xfce). Linux Mint 20.2 bude podporován až do roku 2025.

Ladislav Hagara | Komentářů: 0
dnes 08:00 | Nová verze

Byla vydána verze 1.53.0 programovacího jazyka Rust (Wikipedie). Podrobnosti v poznámkách k vydání. Vyzkoušet Rust lze například na stránce Rust by Example.

Ladislav Hagara | Komentářů: 2
včera 22:33 | Nová verze

Na GOG.com lze do soboty 19. června získat zdarma počítačovou hru Absolute Drift (YouTube).

Ladislav Hagara | Komentářů: 2
včera 21:00 | Bezpečnostní upozornění

Bezpečnostní výzkumníci odhalili zásadní slabinu v šifrovacích algoritmech GEA-1 a GEA-2 používaných mobilními zařízeními. Jejich podezření, že slabina nevznikla náhodou, ale zcela úmyslně, s cílem zjednodušit útok na uživatele, posléze mluvčí autorů algoritmu (ETSI) potvrdil.

JiK | Komentářů: 14
včera 16:22 | Nová verze

Wasmer byl vydán ve verzi 2.0. Jedná se o běhové prostředí pro programy ve WebAssembly. Zdrojové kódy jsou k dispozici na GitHubu pod licencí MIT.

Ladislav Hagara | Komentářů: 0
včera 09:00 | IT novinky

Josef Průša představil novou vylepšenou SLA 3D tiskárnu Original Prusa SL1S SPEED. Její cena je 49 990 Kč. S mycí a vytvrzovací stanicí 64 990 Kč.

Ladislav Hagara | Komentářů: 1
včera 08:00 | Nová verze

Byla vydána nová verze 1.32.0 sady nástrojů pro správu síťových připojení NetworkManager. Novinkám se v příspěvku na blogu věnuje Thomas Haller.

Ladislav Hagara | Komentářů: 2
včera 07:00 | Nová verze

Bylo vydáno Eclipse IDE 2021-06 aneb Eclipse 4.20. Představení novinek tohoto vývojového prostředí také na YouTube.

Ladislav Hagara | Komentářů: 0
16.6. 23:11 | IT novinky

Měsíční kampaň Bulánci se vrací na Startovači na podporu vývoje nové verze dnes již dvacetileté počítačové hry Bulánci skončila. Vybráno bylo 7 308 770 Kč. Požadováno bylo 500 000 Kč.

Ladislav Hagara | Komentářů: 16
16.6. 18:33 | Zajímavý článek

Nakladatelství Raspberry Pi vydalo knihu The Computers That Made Britain věnovanou domácím počítačům z osmdesátých let (ZX Spectrum, BBC Micro, Commodore 64, …). Tištěnou verzi lze koupit za 12 liber. Elektronická verze je ke stažení za libovolnou částku, také zdarma (pdf).

Ladislav Hagara | Komentářů: 0
Používáte kalkulačku?
 (9%)
 (30%)
 (61%)
 (27%)
 (12%)
Celkem 226 hlasů
 Komentářů: 25, poslední dnes 07:59
Rozcestník

SSH klient v príkladoch (2)

8.5. 22:30 | Přečteno: 1681× | GNU/Linux | poslední úprava: 8.5. 22:31

Čo sa do minulého článku nevošlo.

Ďakujem za komentáre a podnety ku minulému článku. Týmto ho skúsim ešte trochu doplniť.

Ssh ako SOCKS proxy server

Príkaz

    ssh -D 12345 PC2
otvorí šifrované spojenie z PC0:12345 na PC2 a sshd na PC2 bude plniť úlohu SOCKS proxy. Ľubovoľná aplikácia na PC0 (alebo v sieti PC0, ak je port 12345 otvorený do siete), ktorá dokáže používať SOCKS proxy, získa prístup ku prostriedkom, ako keby bežala priamo na PC2. Díky @jiwopene za tip!

Ssh ako SOCKS klient

Predpokladajme, že PC2:ssh nie je viditeľné priamo, ale je za SOCKS proxy. Pomôže
    ProxyCommand /bin/ncat --proxy-type socks5 --proxy  socks_server:socks_port PC2 ssh_port2
prípadne, ak socks_server sprístupňuje viaceré stroje/viaceré porty, dá sa napísať univerzálne
    ProxyCommand /bin/ncat --proxy-type socks5 --proxy  socks_server:socks_port %h %p
(viď. TOKENS v man ssh_config).

Netcat binárka sa môže v niektorých distribúciách volať aj /bin/nc, treba pozrieť svoj systém.

Zdieľanie spojenia

Každý ssh príkaz znamená nadviazanie spojenia, vykonanie akcie, ukončenie spojenia. Nadväzovanie spojení má určitú réžiu, ktorá pri zadávaní príkazov z klávesnice obvykle nevadí, ale pri skriptovaní je zbytočná (skript, ktorý volá viacero ssh operácií). Našťastie ssh umožňuje zdieľať jeden tunel nielen pre viacero použití v rámci jedného príkazu (ako napr. viacero -L), ale aj v čase, pre viacero klientov. Toto zdieľanie môže riadiť programátor v skripte, alebo môže byť nastavené ako automatické.

Príklad, ako zapnúť automatické zdieľanie spojení v ~/.ssh/config:

    Host *
    ControlMaster auto
    ControlPath ~/.ssh/control_%r@%h_%p
    ControlPersist 1m
Príkazy, ako napr.
    #!/bin/bash
    scp skript{1,2}.sh PC2:./
    ssh PC2 ./skript1.sh
    ssh PC2 ./skript2.sh
sa potom všetky udejú v rámci jedného ssh spojenia.

Poznámka: Zdieľanie spojenia nefunguje v rámci Cygwin-u a z nejakých dôvodov sa mne nedalo kombinovať s X11 forwardingom. Keďže s X11 forwardingom som robil len pokusy a reálne som ho nepotreboval, hlbšiu príčinu som nezisťoval.

Ako udržiavať reverzný tunel "živý"

Skript beží na PC5, je spúšťaný pravidelne cez crontab a udržiava "živý" reverzný tunel, ktorý vyúsťuje na PC1. Ku prihlasovaniu na PC1 sa používa ssh kľúč bez hesla. Verejnú časť kľúča je nutné nahrať nielen do /home/user1/.ssh/authorized_keys na PC1 ale aj do /home/user5/.ssh/authorized_keys na PC5, kvôli overovaniu funkčnosti tunela. Voľba StrictHostKeyChecking accept-new uľahčuje prvé spustenie. Voľby ServerAlive... boli pridané vďaka námetu od @Jenda, díky!

Skript funguje vďaka mechanizmu zdieľania spojenia, tentokrát nie v automatickom režime, ako v minulej kapitole, ale "manuálne" riadenému: -M štartuje nový master, -O posiela riadiace príkazy masteru cez socket -S.

Spustenie skriptu s parametrom stop ukončí tunel a súčasne pozastaví proces jeho obnovovania (netreba editovať crontab). Parameter start tunel zase obnoví, rovnako, ako reštart PC5 (pri reštarte sa obvykle zmaže /tmp/.)

Poznámka: Riešenie s reverzným tunelom nesie zo sebou istú nepríjemnosť v podobe otravných pokusov o neautorizované pripojenie. PC1 o výsledku pripojovania klienta nič nevie, iba posiela nejaké dáta do tunela, takže nemôže takéto pokusy blokovať. Z pohľadu PC5 prichádzajú všetky spojenia z localhost-u, takže vie, ktoré prípady by sa mali blokovať, ale nevidí adresu. Jednoduché riešenie formou povedzme fail2ban sa nedá nasadiť. Ak máte niekto nápad, ako sa neautorizovaných pokusov zbaviť, podeľte sa, prosím, v diskusii. Vysoké číslo portu (54321) dnes už nepomáha. Ja som skeptický.

    #!/bin/bash

    MyPort=54321
    TheServer='PC1'
    TheServerSshPort=22
    TheServerLogin='user1'
    LocalSshPort=22

    ControlPath="$HOME/.ssh/server_tunnel_control"
    BlockPath='/tmp/server_tunnel_block'
    Identity="$HOME/tunel_test/id_rsa_port_forward"
    # Kluc musi byt ako v $Identity, tak aj v ~/.ssh/authorized_keys a to kvoli kontrole funkcnosti spojenia (function is_tunnel_working)!

    self="$(readlink -mn "$0")"

    function start_connection()
    {
        ssh -M -S "$ControlPath" -fnN -g -2 -4 \
            -o 'StrictHostKeyChecking accept-new' \
            -o 'ControlPersist yes' \
            -o 'ExitOnForwardFailure yes' -o 'ServerAliveInterval 30' -o 'ServerAliveCountMax 3' \
            -R "*:$MyPort:localhost:$LocalSshPort" \
            -i "$Identity" \
            -p "$TheServerSshPort" "$TheServerLogin"@"$TheServer" \
        && rm -f "$BlockPath"
    }

    function control()
    {
        cmd=$1
        ssh -S "$ControlPath" \
            -O "$cmd" \
            -i "$Identity" \
            -p "$TheServerSshPort" "$TheServerLogin"@"$TheServer"
    }

    function stop_connection()
    {
        touch "$BlockPath"
        control exit >/dev/null
    }

    function ping_server()
    {
        ping -c 2 "$TheServer" >/dev/null
    }

    function is_tunnel_working()
    {
        # Tunel sa povazuje za funkcny, ak cez neho skript vidi sam seba.
        ssh -o 'StrictHostKeyChecking accept-new' \
            -i "$Identity" -p "$MyPort" "$USER"@"$TheServer" \
            /bin/ls "$(dirname "$self")" \
        | grep -cxF "$(basename "$self")"
    }

    ###============================================================================

    case "$1" in
        "start") ## iba pre pripad startu po zablokovani
            start_connection
            E=$?
            logger --stderr -t "[THESERVER_SSH]" "Port forwarding start ($E)"
            ;;

        "stop") ## zablokovanie forwardu, aby ho cron neobnovoval
            stop_connection
            E=$?
            logger --stderr -t "[THESERVER_SSH]" "Port forwarding stop ($E)"
            ;;

        "restart")
            stop_connection && start_connection
            E=$?
            logger --stderr -t "[THESERVER_SSH]" "Port forwarding restart ($E)"
            ;;

        *) ## default - ak nie je zablokovany, forward ma fungovat
            [ -f $BlockPath ] && exit 0

            if ! ping_server ; then
                >&2 echo "Cannot ping $TheServer. Internet off?"
                exit 1
            fi
            if [ ! -e "$ControlPath" ] ; then
                "$self" start
                exit $?
            fi
            T="$(mktemp)"
            control check >"$T" 2>&1
            E=$?
            if [ "$E" -ne 0 ] ; then
                logger --stderr -t "[THESERVER_SSH]" "($E) $(cat "$T")"
                rm "$T"
                if [ "$E" -ne 255 ] ; then
                    "$self" start
                    exit $?
                fi
            else
                rm "$T"
            fi
            # funguje naozaj?
            C="$(is_tunnel_working)"
            if [ -z "$C" -o "$C" -eq 0 ] ; then
                "$self" restart
                E=$?
            else
                E=0
            fi
            ;;
    esac
    exit $E

Záver

To by bolo z mojej strany ku téme ssh všetko. Možno mi neskôr život priveje ďalšie netriviálne spôsoby využitia ssh - uvidíme. Zostáva mi už len vysloviť poďakovanie všetkým, ktorí vytvorili a ktorí udržiavajú takýto užitočný kus kódu.        

Hodnocení: 100 %

        špatnédobré        

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

Komentáře

Vložit další komentář

otasomil avatar 9.5. 17:54 otasomil | skóre: 39 | blog: puppylinux
Rozbalit Rozbalit vše Re: SSH klient v príkladoch (2)
Pro spusteni proxy aby provoz bezel pres user@machine nutno spustit tunnel viz priklady:
ssh -N -D3081 user@machine -p 22
Nebo aby byl proxy dostupny z jakehokoli PC v lokalni siti:
ssh -N -D192.168.1.100:3081 user@machine -p 22
Pro pouziti proxy treba k webovemu prohlizeci Chromium:
chromium --incognito --proxy-server="socks5://192.168.1.100:3081"
K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.