Dotaz: Jak vést traffic skrz SSH?

[Jakub Lucký]

Jako správný paranoik, pohybující se na různých free wifi připojeních (navíc s různě povolenými porty) hledám způsob jak všechny tyto problémy obejít a vést celou komunikaci šifrovaně přes svůj (domácí) server.

Objevil jsem, že SSH má integrované VPN, což řeší spoustu problémů, nicméně nějak si nejsem jist, jak správně nastavit routování:

Spojím SSH (ssh -NCTf -w muj_server_ip:port), na serveru i klientu vytvořit tun0, na serveru nastavit stejnou IP jako má v jeho vlastní lokální síti, na klientu nějakou volnou z domácího rozsahu

Server: tun0: 10.0.0.1, eth0: 10.0.0.1, gateway: 10.0.0.10

Klient: tun0: 10.0.0.2, eth0: 192.168.1.100, gateway: ??

A tady se zaseknu, jak to nastavit, aby veškerý traffic šel skrz tun0?

Odpovědi

[NN]

Tady je slusny navod:

https://help.ubuntu.com/community/SSH_VPN

Nevyhovuje ti OpenVPN?

NN

[Jakub Lucký]

na ten návod jsem se díval... a možná jsem nějaký natvrdlý, ale trochu se v něm občas ztrácím...

Teď jsem se díval na OpenVPN, to by taky mohlo být řešení, a možná jednodušší...

[Marián Kyral]

route add default gw {IP-ADDRESS} {INTERFACE-NAME}

http://www.cyberciti.biz/faq/linux-setup-default-gateway-with-route-command/

Případně smazat předchozí výchozí bránu (route del)

[Jendа]

Když pominu, že route v Linuxu přestalo fungovat už když jsem chodil do školky :), tak bych čekal, že se tímto rozpadne i to SSH spojení, ne? Takže ještě by se musela přidat jedna specifická routa na jeho domácí server.

[Jendа]

Jo, je to i v tom návodu:

However, first, we must create a host-based route to Machine A's globally routable IP address; all packets except for the packets that actually create the link must go through the tunnel, but of course the packets that create the tunnel cannot go through the tunnel.

[Marián Kyral]

Když pominu, že route v Linuxu přestalo fungovat už když jsem chodil do školky :)

Já jsem ještě ze staré školy Ale nic ti nebrání přispět svou troškou do mlýny a napsat, jak by to správně mělo být podle nového učení.

[Jendа]

ip r a baba:de:a:deda:bac:baba:fff::/128 via 2001:470:9b01:1:baf::baf dev wlan0

[Jendа]

Jo a ještě tu default routu:

ip r a default via stroj dev zařízení

ale pokud už tam nějaká je, musí se nejdřív odstranit (i v tvém případě)

ip (-6) r d default

[tuxmartin]

Jestli mas domaci server, tak zkus OpenVPN (sam to pouzivam). Hlavne se podivej na volbu push "redirect-gateway def1"

Taky bych doporucil provozovat OpenVPN na TCP portu 80, nebo 443 - nekde mivaji na firewallu povoleny pouze tyto dva porty. Sam se v nekolika takovych sitich pripojuju na svoji domaci OpenVPN (TCP 443) a zatim to vzdy fungovalo.

[JanM]

A potřebujete směrovat veškerý provoz nebo prakticky používáte jen pár aplikací? Některé podporují nastavení SOCKS proxy (firefox, ...), pak by mohlo stačit "$ ssh -D 8080 ke.mne.domu.cz" a doma nemusíte nic dalšího nastavovat...

[Jendа]

A ty, co nepodporují, se k tomu dají donutit přepsáním nějaké knihovny (hledejte klíčové slovo tsocks). Ale je s tím štvaní (musí se ošetřit všechny aplikace, které lezou na Internet, třeba i apt nebo ntpd) a pořád to není skutečné připojení (nemůžeš si naroutovat IP adresu a rozjet si server).