abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 02:22 | Komunita

    Přesně před 34 lety, 25. srpna 1991, oznámil Linus Benedict Torvalds v diskusní skupině comp.os.minix, že vyvíjí (svobodný) operační systém (jako koníček, nebude tak velký a profesionální jako GNU) pro klony 386 (486), že začal v dubnu a během několika měsíců by mohl mít něco použitelného.

    Ladislav Hagara | Komentářů: 3
    dnes 01:55 | Nová verze

    86Box, tj. emulátor retro počítačů založených na x86, byl vydán ve verzi 5.0. S integrovaným správcem VM. Na GitHubu jsou vedle zdrojových kódů ke stažení také připravené balíčky ve formátu AppImage.

    Ladislav Hagara | Komentářů: 0
    23.8. 17:44 | IT novinky

    Vláda Spojených států získala desetiprocentní podíl v americkém výrobci čipů Intel. Oznámili to podle agentur americký prezident Donald Trump a ministr obchodu Howard Lutnick. Společnost Intel uvedla, že výměnou za desetiprocentní podíl obdrží státní dotace v hodnotě 8,9 miliardy dolarů (zhruba 186 miliard Kč). Částka podle Intelu zahrnuje dříve přislíbené subvence 5,7 miliardy dolarů z programu CHIPS na podporu výroby čipů v USA,

    … více »
    Ladislav Hagara | Komentářů: 10
    23.8. 17:33 | Nová verze

    Organizace Apache Software Foundation (ASF) vydala verzi 27 integrovaného vývojového prostředí a vývojové platformy napsané v Javě NetBeans (Wikipedie). Přehled novinek na GitHubu. Instalovat lze také ze Snapcraftu a Flathubu.

    Ladislav Hagara | Komentářů: 0
    23.8. 04:22 | Nová verze

    Knihovna FFmpeg byla vydána ve verzi 8.0 „Huffman“. Přibyla mj. podpora hardwarově akcelerovaného kódování s využitím API Vulcan, viz seznam změn.

    Fluttershy, yay! | Komentářů: 0
    22.8. 17:44 | IT novinky

    Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal Zprávu o stavu kybernetické bezpečnosti ČR za rok 2024 (pdf). V loňském roce NÚKIB evidoval dosud nejvíce kybernetických bezpečnostních incidentů s celkovým počtem 268. Oproti roku 2023 se však jedná pouze o drobný nárůst a závažnost dopadů evidovaných incidentů klesá již třetím rokem v řadě. V minulém roce NÚKIB evidoval pouze jeden velmi významný incident a významných incidentů bylo zaznamenáno 18, což oproti roku 2023 představuje pokles o více než polovinu.

    Ladislav Hagara | Komentářů: 1
    22.8. 13:55 | Komunita

    Byl publikován aktuální přehled vývoje renderovacího jádra webového prohlížeče Servo (Wikipedie). Servo mimo jiné nově zvládne animované obrázky APNG a WebP.

    Ladislav Hagara | Komentářů: 0
    22.8. 13:11 | IT novinky

    Na chytré telefony a počítačové tablety v Rusku bude od začátku příštího měsíce povinné předinstalovávat státem podporovanou komunikační aplikaci MAX, která konkuruje aplikaci WhatsApp americké společnosti Meta Platforms. Oznámila to dnes ruská vláda. Ta by podle kritiků mohla aplikaci MAX používat ke sledování uživatelů. Ruská státní média obvinění ze špehování pomocí aplikace MAX popírají. Tvrdí, že MAX má méně oprávnění k přístupu k údajům o uživatelích než konkurenční aplikace WhatsApp a Telegram.

    Ladislav Hagara | Komentářů: 46
    22.8. 04:22 | IT novinky

    Společnost PINE64 stojící za telefony PinePhone nebo notebooky Pinebook publikovala na svém blogu srpnový souhrn novinek. Kvůli nedostatečnému zájmu byla ukončena výroba telefonů PinePhone Pro.

    Ladislav Hagara | Komentářů: 2
    21.8. 22:22 | Nová verze

    Po pěti měsících vývoje byla vydána nová verze 0.15.1 programovacího jazyka Zig (GitHub, Wikipedie). Verze 0.15.0 byla přeskočena. Přispělo 162 vývojářů. Přehled novinek v poznámkách k vydání.

    Ladislav Hagara | Komentářů: 0
    Pro otevření více webových stránek ve webovém prohlížečí používám
     (78%)
     (7%)
     (4%)
     (4%)
     (6%)
     (0%)
    Celkem 69 hlasů
     Komentářů: 6, poslední 21.8. 13:35
    Rozcestník

    SSH klient v príkladoch (2)

    8.5.2021 22:30 | Přečteno: 2099× | GNU/Linux | poslední úprava: 8.5.2021 22:31

    Čo sa do minulého článku nevošlo.

    Ďakujem za komentáre a podnety ku minulému článku. Týmto ho skúsim ešte trochu doplniť.

    Ssh ako SOCKS proxy server

    Príkaz

        ssh -D 12345 PC2
    
    otvorí šifrované spojenie z PC0:12345 na PC2 a sshd na PC2 bude plniť úlohu SOCKS proxy. Ľubovoľná aplikácia na PC0 (alebo v sieti PC0, ak je port 12345 otvorený do siete), ktorá dokáže používať SOCKS proxy, získa prístup ku prostriedkom, ako keby bežala priamo na PC2. Díky @jiwopene za tip!

    Ssh ako SOCKS klient

    Predpokladajme, že PC2:ssh nie je viditeľné priamo, ale je za SOCKS proxy. Pomôže
        ProxyCommand /bin/ncat --proxy-type socks5 --proxy  socks_server:socks_port PC2 ssh_port2
    
    prípadne, ak socks_server sprístupňuje viaceré stroje/viaceré porty, dá sa napísať univerzálne
        ProxyCommand /bin/ncat --proxy-type socks5 --proxy  socks_server:socks_port %h %p
    
    (viď. TOKENS v man ssh_config).

    Netcat binárka sa môže v niektorých distribúciách volať aj /bin/nc, treba pozrieť svoj systém.

    Zdieľanie spojenia

    Každý ssh príkaz znamená nadviazanie spojenia, vykonanie akcie, ukončenie spojenia. Nadväzovanie spojení má určitú réžiu, ktorá pri zadávaní príkazov z klávesnice obvykle nevadí, ale pri skriptovaní je zbytočná (skript, ktorý volá viacero ssh operácií). Našťastie ssh umožňuje zdieľať jeden tunel nielen pre viacero použití v rámci jedného príkazu (ako napr. viacero -L), ale aj v čase, pre viacero klientov. Toto zdieľanie môže riadiť programátor v skripte, alebo môže byť nastavené ako automatické.

    Príklad, ako zapnúť automatické zdieľanie spojení v ~/.ssh/config:

        Host *
        ControlMaster auto
        ControlPath ~/.ssh/control_%r@%h_%p
        ControlPersist 1m
    
    Príkazy, ako napr.
        #!/bin/bash
        scp skript{1,2}.sh PC2:./
        ssh PC2 ./skript1.sh
        ssh PC2 ./skript2.sh
    
    sa potom všetky udejú v rámci jedného ssh spojenia.

    Poznámka: Zdieľanie spojenia nefunguje v rámci Cygwin-u a z nejakých dôvodov sa mne nedalo kombinovať s X11 forwardingom. Keďže s X11 forwardingom som robil len pokusy a reálne som ho nepotreboval, hlbšiu príčinu som nezisťoval.

    Ako udržiavať reverzný tunel "živý"

    Skript beží na PC5, je spúšťaný pravidelne cez crontab a udržiava "živý" reverzný tunel, ktorý vyúsťuje na PC1. Ku prihlasovaniu na PC1 sa používa ssh kľúč bez hesla. Verejnú časť kľúča je nutné nahrať nielen do /home/user1/.ssh/authorized_keys na PC1 ale aj do /home/user5/.ssh/authorized_keys na PC5, kvôli overovaniu funkčnosti tunela. Voľba StrictHostKeyChecking accept-new uľahčuje prvé spustenie. Voľby ServerAlive... boli pridané vďaka námetu od @Jenda, díky!

    Skript funguje vďaka mechanizmu zdieľania spojenia, tentokrát nie v automatickom režime, ako v minulej kapitole, ale "manuálne" riadenému: -M štartuje nový master, -O posiela riadiace príkazy masteru cez socket -S.

    Spustenie skriptu s parametrom stop ukončí tunel a súčasne pozastaví proces jeho obnovovania (netreba editovať crontab). Parameter start tunel zase obnoví, rovnako, ako reštart PC5 (pri reštarte sa obvykle zmaže /tmp/.)

    Poznámka: Riešenie s reverzným tunelom nesie zo sebou istú nepríjemnosť v podobe otravných pokusov o neautorizované pripojenie. PC1 o výsledku pripojovania klienta nič nevie, iba posiela nejaké dáta do tunela, takže nemôže takéto pokusy blokovať. Z pohľadu PC5 prichádzajú všetky spojenia z localhost-u, takže vie, ktoré prípady by sa mali blokovať, ale nevidí adresu. Jednoduché riešenie formou povedzme fail2ban sa nedá nasadiť. Ak máte niekto nápad, ako sa neautorizovaných pokusov zbaviť, podeľte sa, prosím, v diskusii. Vysoké číslo portu (54321) dnes už nepomáha. Ja som skeptický.

        #!/bin/bash
    
        MyPort=54321
        TheServer='PC1'
        TheServerSshPort=22
        TheServerLogin='user1'
        LocalSshPort=22
    
        ControlPath="$HOME/.ssh/server_tunnel_control"
        BlockPath='/tmp/server_tunnel_block'
        Identity="$HOME/tunel_test/id_rsa_port_forward"
        # Kluc musi byt ako v $Identity, tak aj v ~/.ssh/authorized_keys a to kvoli kontrole funkcnosti spojenia (function is_tunnel_working)!
    
        self="$(readlink -mn "$0")"
    
        function start_connection()
        {
            ssh -M -S "$ControlPath" -fnN -g -2 -4 \
                -o 'StrictHostKeyChecking accept-new' \
                -o 'ControlPersist yes' \
                -o 'ExitOnForwardFailure yes' -o 'ServerAliveInterval 30' -o 'ServerAliveCountMax 3' \
                -R "*:$MyPort:localhost:$LocalSshPort" \
                -i "$Identity" \
                -p "$TheServerSshPort" "$TheServerLogin"@"$TheServer" \
            && rm -f "$BlockPath"
        }
    
        function control()
        {
            cmd=$1
            ssh -S "$ControlPath" \
                -O "$cmd" \
                -i "$Identity" \
                -p "$TheServerSshPort" "$TheServerLogin"@"$TheServer"
        }
    
        function stop_connection()
        {
            touch "$BlockPath"
            control exit >/dev/null
        }
    
        function ping_server()
        {
            ping -c 2 "$TheServer" >/dev/null
        }
    
        function is_tunnel_working()
        {
            # Tunel sa povazuje za funkcny, ak cez neho skript vidi sam seba.
            ssh -o 'StrictHostKeyChecking accept-new' \
                -i "$Identity" -p "$MyPort" "$USER"@"$TheServer" \
                /bin/ls "$(dirname "$self")" \
            | grep -cxF "$(basename "$self")"
        }
    
        ###============================================================================
    
        case "$1" in
            "start") ## iba pre pripad startu po zablokovani
                start_connection
                E=$?
                logger --stderr -t "[THESERVER_SSH]" "Port forwarding start ($E)"
                ;;
    
            "stop") ## zablokovanie forwardu, aby ho cron neobnovoval
                stop_connection
                E=$?
                logger --stderr -t "[THESERVER_SSH]" "Port forwarding stop ($E)"
                ;;
    
            "restart")
                stop_connection && start_connection
                E=$?
                logger --stderr -t "[THESERVER_SSH]" "Port forwarding restart ($E)"
                ;;
    
            *) ## default - ak nie je zablokovany, forward ma fungovat
                [ -f $BlockPath ] && exit 0
    
                if ! ping_server ; then
                    >&2 echo "Cannot ping $TheServer. Internet off?"
                    exit 1
                fi
                if [ ! -e "$ControlPath" ] ; then
                    "$self" start
                    exit $?
                fi
                T="$(mktemp)"
                control check >"$T" 2>&1
                E=$?
                if [ "$E" -ne 0 ] ; then
                    logger --stderr -t "[THESERVER_SSH]" "($E) $(cat "$T")"
                    rm "$T"
                    if [ "$E" -ne 255 ] ; then
                        "$self" start
                        exit $?
                    fi
                else
                    rm "$T"
                fi
                # funguje naozaj?
                C="$(is_tunnel_working)"
                if [ -z "$C" -o "$C" -eq 0 ] ; then
                    "$self" restart
                    E=$?
                else
                    E=0
                fi
                ;;
        esac
        exit $E
    

    Záver

    To by bolo z mojej strany ku téme ssh všetko. Možno mi neskôr život priveje ďalšie netriviálne spôsoby využitia ssh - uvidíme. Zostáva mi už len vysloviť poďakovanie všetkým, ktorí vytvorili a ktorí udržiavajú takýto užitočný kus kódu.        

    Hodnocení: 100 %

            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    otasomil avatar 9.5.2021 17:54 otasomil | skóre: 39 | blog: puppylinux
    Rozbalit Rozbalit vše Re: SSH klient v príkladoch (2)
    Pro spusteni proxy aby provoz bezel pres user@machine nutno spustit tunnel viz priklady:
    ssh -N -D3081 user@machine -p 22
    
    Nebo aby byl proxy dostupny z jakehokoli PC v lokalni siti:
    ssh -N -D192.168.1.100:3081 user@machine -p 22
    
    Pro pouziti proxy treba k webovemu prohlizeci Chromium:
    chromium --incognito --proxy-server="socks5://192.168.1.100:3081"
    
    K čemu hudba, která nevede k extázi... Stop MDMA !!! I spam umí být roztomilý
    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.