SSH přes SSH „proxy“ server (diskuse)

[marbu]

To je sikovne, diky. Zaujal mne hlavne ten posledni priklad pro vsechny stroje z domeny, protoze prestupni stroj do ni patri taky a tak by se to tak jak to tam mas zacyklilo. Spravit se to da ale treba tim, ze si pro prestupni stroj zavedes alias a pouzijes v proxy commandu ten:

Host prestupni-stanice
Hostname prestupni-stanice.example.com
...
Host *.example.com
ProxyCommand ssh prestupni-stanice "socat STDIO TCP-CONNECT:%h:22

Nebo tobe se to nezacykli z jineho duvodu? :)

[xkucf03]

Můj přestupní stroj nemá DNS jméno, takže u něj mám v konfiguráku IP adresu. Díky za upozornění – bez toho by se to zacyklilo.

[Jan Kundrát (jkt)]

ssh_config dava prednost drive uvedenym specifictejsim matchum, cili napr. pokud mate v ~/.ssh/config uvedene jako prvni Host a.example.org a jako dalsi Host *.example.org, pouziji se pri pripojovani na "a" pouze pravidla primo pro nej urcena.

[Sleep_Walker]

Velmi prakticke, dekuji.

[Radek Hladik]

Hezké. Já jsem toto řešil trochu jinak. Na desktopu používám Windows a Putty+Pageant. A upravil jsem si ten pageant tak, aby při každém použití klíče chtěl jakýsi PIN. Takže ikdyž správce toho přestupního stroje bude padouch, tak pokud by chtěl mého agenta zneužít k autentizaci někam dál, tak mně by tu vyskočil dotaz na PIN bez nějakého mého pokusu se někam přihlásit.

Inspiroval jsem se řešením, kdy klíč máte na smartkartě, která ho nedovolí použít, dokud jí nepodstrčíte PIN. I tohle řešení už pro Putty existuje, ale mně připadal obezpečnější a opruznější než potřebuju.

[Bystroushaak]

Teda, ne že bych to přečetl úplně pozorně, ale neslouží k tomu samému parametry -L, -R a -D?

Něco podobného používám už nějaký pátek; http://kitakitsune.org/textydw/howto/zretezeni_ssh_proxy

[xkucf03]

Řeší to stejný problém, ale elegantnějším způsobem – ty tunely musíš ručně vytvářet, tzn, jedním spojením vytvořit tunel a druhým se připojit na protunelovaný port. Tady se ten tunel vytvoří sám, navíc to ani nejde přes TCP port na localhostu, ale přes standardní vstup/výstup. Při připojování nemusíš řešit, přes jakou proxy to pojede, nemusíš zadávat dodatečně host/port při každém připojování… všechno potřebné je v konfiguráku – tudíž bude fungovat i s sshfs nebo jinými programy, které na ssh staví.

[Bystroushaak]

Ok.

[pavlix]

Aha, no to přesně z blogpostu hned nevyplynulo. Prvně jsme tě chtěl zprdnout, že to, co píšeš je k ničemu a dávno vyřešeno :), ale přesvědčil jsi mě.

Takže díky.

[xkucf03]

Vždyť to tam je

Je to bezpečnější než tunelování agenta a pohodlnější než tunelování cílových SSH portů na localhost pomocí ssh -L 2222:cilovy-stroj.example.com:22 (tam je potřeba ručně vytvářet tunel) Navíc s ProxyCommandem a socatem můžeme snadno použít takové věci jako SSHFS.

Ale asi jsem měl nejdřív srovnat ty tři možnosti a pak teprve psát řešení, takhle to možná zapadlo.

[pavlix]

Asi jen zapadlo... mimochodem s alternativním portem SSHFS taky funguje, ale co se mi na tvém řešení líbí je, že se vyhneš problémům s known_hosts.

[Sleep_Walker]

ten hlavni rozdil vidim prave v tom, ze se neposloucha na portech; tedy, jiny uzivatel nemuze pouzit protunelovane porty stejnym zpusobem jako zamyslim ja.

[Martin Beránek]

Tohle reseni pouzivam uz nekolik let. Misto socat lze pouzit normalni netcat ktery je skoro vsude (protoze prestupni stanice je v cizich rukou, neni potreba tam nic doinstalovavat).

V direktive ProxyCommand nedavam primo prikaz, ale ~/.ssh/proxy-command.sh %h %p. Má to velkou výhodu - lze pohodlně naskriptovat jak se na daný stroj připojím např podle aktuálního umístění. Například z práce se můžu rovnou připojit na stroj u zákazníka, kdežto z internetu musím nejdřív skočit na stroj do práce a pak až dál (zákazník má omezený přístup jen z některých adres).

Dále se často připojuji na zhruba 200 počítačů které jsou připojeny ve VPN. Informace o vsech strojich jsou v centralne spravovanem v XML souboru kde je uvedeno: jmeno_serveru, ip_adresa. Tento seznam je docela dynamicky a porad se meni. Udrzovat tedy vlastni .ssh/config je komplikovane. Proto jsem si pro bash_completion napsal skript ktery pro ssh napovida jmena stroju ve formatu vpn-jmeno_serveru. Do .ssh/config jsem dal pouze direktivu

Host vpn-*
ProxyCommand ~/.ssh/ssh-proxy-vpn %h

V odkazovanem skriptu si dle jmena stroje zjistim jeho adresu a provedu pripojeni.

[pavlix]

Pěkné triky, díky.