abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    včera 22:33 | Nová verze

    Byla vydána beta verze openSUSE Leap 16. Ve výchozím nastavení s novým instalátorem Agama.

    Ladislav Hagara | Komentářů: 0
    včera 17:44 | Zajímavý článek

    Devadesátková hra Brány Skeldalu prošla portací a je dostupná na platformě Steam. Vyšel i parádní blog autora o portaci na moderní systémy a platformy včetně Linuxu.

    karkar | Komentářů: 0
    včera 12:11 | Humor

    Lidi dělají divné věci. Například spouští Linux v Excelu. Využít je emulátor RISC-V mini-rv32ima sestavený jako knihovna DLL, která je volaná z makra VBA (Visual Basic for Applications).

    Ladislav Hagara | Komentářů: 2
    včera 10:44 | IT novinky

    Revolut nabídne neomezený mobilní tarif za 12,50 eur (312 Kč). Aktuálně startuje ve Velké Británii a Německu.

    Ladislav Hagara | Komentářů: 22
    včera 09:55 | IT novinky

    Společnost Amazon miliardáře Jeffa Bezose vypustila na oběžnou dráhu první várku družic svého projektu Kuiper, který má z vesmíru poskytovat vysokorychlostní internetové připojení po celém světě a snažit se konkurovat nyní dominantnímu Starlinku nejbohatšího muže planety Elona Muska.

    Ladislav Hagara | Komentářů: 2
    včera 09:33 | IT novinky

    Poslední aktualizací začal model GPT-4o uživatelům příliš podlézat. OpenAI jej tak vrátila k předchozí verzi.

    Ladislav Hagara | Komentářů: 0
    včera 08:11 | Nová verze

    Google Chrome 136 byl prohlášen za stabilní. Nejnovější stabilní verze 136.0.7103.59 přináší řadu novinek z hlediska uživatelů i vývojářů. Podrobný přehled v poznámkách k vydání. Opraveno bylo 8 bezpečnostních chyb. Vylepšeny byly také nástroje pro vývojáře.

    Ladislav Hagara | Komentářů: 0
    29.4. 20:55 | Nová verze

    Homebrew (Wikipedie), správce balíčků pro macOS a od verze 2.0.0 také pro Linux, byl vydán ve verzi 4.5.0. Na stránce Homebrew Formulae lze procházet seznamem balíčků. K dispozici jsou také různé statistiky.

    Ladislav Hagara | Komentářů: 0
    29.4. 16:22 | Nová verze

    Byl vydán Mozilla Firefox 138.0. Přehled novinek v poznámkách k vydání a poznámkách k vydání pro vývojáře. Řešeny jsou rovněž bezpečnostní chyby. Nový Firefox 138 je již k dispozici také na Flathubu a Snapcraftu.

    Ladislav Hagara | Komentářů: 0
    29.4. 15:55 | Pozvánky

    Šestnáctý ročník ne-konference jOpenSpace se koná 3. – 5. října 2025 v Hotelu Antoň v Telči. Pro účast je potřeba vyplnit registrační formulář. Ne-konference neznamená, že se organizátorům nechce připravovat program, ale naopak dává prostor všem pozvaným, aby si program sami složili z toho nejzajímavějšího, čím se v poslední době zabývají nebo co je oslovilo. Obsah, který vytvářejí všichni účastníci, se skládá z desetiminutových

    … více »
    Zdenek H. | Komentářů: 2
    Jaký filesystém primárně používáte?
     (58%)
     (1%)
     (9%)
     (21%)
     (4%)
     (1%)
     (2%)
     (0%)
     (1%)
     (3%)
    Celkem 494 hlasů
     Komentářů: 19, poslední včera 11:32
    Rozcestník

    Jak se pomocí ssh prohrabat na počítač ve vnitřní síti

    Způsobů je samozřejmě celá řada, zde popsaný je určen pro situaci, že se potřebuji dostávat na stroj který je za nějakým NAT a proxy. Vyžaduje jednak spolupráci ze strany uživatele (i když se samozřejmě dá bez ní obejít, ale to už není předmětem tohoto postupu) a stroj s veřejnou IP adresou. Na obou strojích je třeba mít účet a přinejmenším právo pomocí sudo spouštět ssh démona.

    Popis situace

    Počítač na který se potřebujeme dostat, běží ve vnitřní síti (s neveřejnou IP adresou) a jediný způsob jakým se uživatel může dostávat na web je prostřednictvím autorizované HTTP proxy. Za předpokladu že je správce proxy paranoik jsou pro komunikaci povoleny maximálně porty 80 (http) a 443 (https).

    V takovém případě nezbývá, než mít možnost spustit na vzdáleném stroji ssh démona tak aby naslouchal na některém z povolených portů.
    Přitom je třeba zajistit, aby se nedostal do konfliktu s jinou aplikací. Tj. pokud na vzdáleném stroji běží také https tak může mezi ním a ssh démonem na portu 443 vznikat problém. Dejme tomu, že na proxy je povolen také port 17222. Pak tedy na vzdáleném stroji spustíme ssh démona naslouchajícího na tomto portu:

    UserVenku@verejnystroj~$ /usr/sbin/sshd -p 17222
    

    Tím získáme ssh server naslouchající na povoleném portu ke kterému se může uživatel z vnitřní sítě připojit. Protože je však v síti za autorizovanou HTTP proxy, tak to nemůže provést přímo, ale musí mít k dispozici nějaký nástroj, který mu to umožní.
    Takovým nástrojem je třeba aplikace proxytunnel. Pokud je v systému nainstalovaná, stačí do souboru ~/.ssh/config v adresáři uživatele, ketrý se bude připojovat na verejnystroj přidat následující:

    Host cokoliv
        ProtocolKeepAlives 30
        ProxyCommand /usr/local/bin/proxytunnel -p <IPproxy>:<PortProxy> \
                                                -u <ProxyUser> -s <ProxyUserPass> \
                                                -d <IPverejnystroj>:17222
    

    Je doufám jasné, že místo údajů v lomených závorkách je třeba dosadit příslušné údaje. Parametr ProtocolKeepAlives zajistí, že ssh klient v pravidelných 30 sekundových intervalech pošle datový paket, kterým spojení oživí. Pokud bychom tento parametr neuvedli, tak je velmi pravděpodobné, že by nám proxy brzy toto spojení odstřihla.

    Pokud jste se dostali až sem, tak by mělo být možné se přihlásit z terminálu počítače ve vnitřní síti pomocí na stroj venku.

    user@stroj~$ ssh UserVenku@cokoliv
    

    Jistě jste si povšimli, že při připojení není uvedena přímo adresa veřejného stroje, ale název, kterým je toto připojení identifikováno v souboru ~/.ssh/config

    Vytvoření tunelu

    Pokud nám výše uvedený postup funguje a uživatel ze stroje ve vnitřní síti se přihlásí na veřejný stroj, tak by již mělo jít vytvořit také ssh tunel z veřejného stroje na stroj uvnitř.

    Jak už jsem uvedl, aby to bylo možné, musí běžet také na stroji ve vnitřní síti ssh démon. Většinou tomu tak je a běží na standardním portu 22, ale nemusí tomu tak být. Pak je třeba, aby měl uživatel možnost sám spustit ssh démona na některém neobsazeném portu třeba pomocí sudo

    user@stroj~$ sudo  /usr/sbin/sshd -p 444
    

    Pak vytvoří tunel:

    user@stroj~$ ssh -R <LibovolnyPort>:localhost:<PortSshStroje> UserVenku@cokoliv
    

    Po vytvoření tunelu se pak může kdokoliv kdo má účet na stroji ve vnitřní sítě z tohoto veřejného stroje přihlásit na jeho stroj následujícím příkazem:

    JinyUserVenku@verejnystroj~$ ssh -p <LibovolnyPort> JinyUserUvnitr@localhost
    

    Připojení na vnitřní stroj by mělo být možné po dobu trvání tunelu. Tzn. dokud jeji uživatel z vnitřní sítě nezruší, nebo dokud "neodstřelí" démona naslouchajícího na jeho stroji.

    Upozornění

    Pro správce: Uvědomte si, že každý takový tunel je bezpečnostním rizikem pro vnitřní síť, proto dobře zvažte komu umožníte přístup k ssh na vzdáleném stroji (nahradit vnitřní stroj vlastním není až takový problém) a stávajícího ssh démona pokud možno co nejvíc zajistěte proti zneužití. Také zakažte všechny nepužívané porty a ty které necháte povolené průběžně monitorujte.

    Pro uživatele: Pamatujte, že na internetu je člověk jako nahý. Každá datová komunikace se někde loguje a není vůbec žádný problém pro zkušenějšího administrátora zjistit že někdo dělá neplechu. Jen paranoik si může myslet, že mu někdo analyzuje obsah odchozích a příchozích dat, nicméně síťové adresy, použité porty, uživatelská jména a objem dat napoví mnohé. Nehřešte na benevolenci svých správců a nezneužívejte možností tunelování. Vyhnete se tak nepříjemným otázkám.

    Dokument vytvořil: Aleš Kapica, 25.1.2007 10:54 | Poslední úprava: miso, 3.6.2007 20:25 | Historie změn | Zobrazeno: 2079×

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.