Dotaz: Podivné chování SSHd tunelu

[nemozny]

Dobrý den, v této chvíli jsem připojen skrze Putty tunnel na domácí Debian a to jako web proxy. Konfigurace je následující:

Opera => SOCKS 127.0.0.1:8081 (Putty local end) 10.0.0.0/8 => Putty prochází firemní http proxy => SSHd 192.168.1.0/24

Konfigurace Putty tunelu je klasicky D8081 Nicméně v logu auth.log se mi neustále objevovují záznamy typu

Jul 29 12:58:41 localhost sshd[25480]: error: connect_to 10.1.52.192 port 80: failed.
Jul 29 12:58:43 localhost sshd[25480]: error: connect_to 10.1.52.199 port 80: failed.
Jul 29 12:59:00 localhost sshd[25480]: error: connect_to 10.1.52.23 port 80: failed.
Jul 29 13:00:34 localhost sshd[25480]: error: connect_to 10.1.52.164 port 80: failed.

stejně tak když si kliknu na Putty event log, zobrazuje (kromě správných záznamů o tvorbě spojení na web servery) i toto:

2011-07-29 13:03:24	Opening forwarded connection to 10.1.52.164:80
2011-07-29 13:03:29	Forwarded port closed
2011-07-29 13:03:33	Forwarded connection refused by server: Connect failed [Connection timed out]

Důvod timeoutu je ten, že jsem nemělo smysl nechat SSHd snažit se o spojení na 10.0.0.0/8 v síti 192.168.1.0/24 a zakázal jsem jej tedy v iptables. Záznam z iptables vypadá takto:

Jul 29 13:06:46 localhost kernel: [228971.392131] bond0 IPv4 DROP: IN= OUT=bond0 SRC=192.168.1.105 DST=10.1.52.164 LEN=48 TOS=0x00 PREC=0x00 TTL=64 ID=32617 DF PROTO=TCP SPT=45264 DPT=80 WINDOW=14600 RES=0x00 SYN URGP=0

Přičemž jediná aplikace, která jde přes tunel, je Opera. Nemám bohužel bez admin práv na firemním desktopu možnost prozkoumat zdejší netstat. V Opeře jsem zkoušel vypnout nebo zapnout "Use proxy for local servers", ale nemá to vliv. Jiné relevantní nastavení jsem ani v about:config nenašel.

A to nejzajímavější je, že ty 10.0.0.0/8 adresy jsou webová rozhraní pro konfiguraci firemních síťových tiskáren.

Co mi leze do tunelu a snaží se o připojení na tiskárnu? Může problém souviset s tím, že používám lokální port 8081, což je podle /etc/services transparent proxy? Jiný port jsem nezkoušel a nemám pocit, že by to mělo vliv.

Odpovědi

[Filip Jirsák]

Jenom k detailům: Pokud v iptables použijete REJECT místo DROP, místo pouhého zahození paketu se pošle také zpráva o nedostupnosti. Takže nebude nutné čekat na timeout a spojení se přeruší hned.

To, že pro něco používáte port 8081, který se zvykově používá pro službu transparentní proxy, nemůže mít na nic vliv.