Dotaz: tunelování celého provozu

[lojza]

dobry den, chtel bych se zeptat jak by sel udelat nejaky tunnel, nebo neco, co by smerovalo vse do jednoho zarizeni a na druhem konci by to normalne forwardovalo dal. PR: na svep pc bych mel jeste nejake zarizeni (tunnel) jako je eth0,eth1,... a tam bych dal presmerovat vsechen provoz, a vse by se to tunnelovalo nekam jinam, na jinej pc, kterej je pripojenej k internetu. aby to neslo primo ode me, ale slo by to prez ten tunnel, (ale musi to byt trvaly tunel, ne ze pro kazde spojeni se to vytvori) (na svem pc jsem root, na tom dalsim jen user) no snad to je alespon trochu srozumitelne :) diky vsem lojza

Odpovědi

[zase lojza]

no, to jsem zase ja:) doufam ze mi sem nekdo nenapiseste abych se nejprve podival do fora, ale ja se tam dival, a nic jsem nenasel, nenasel jsem nic co by mi pomohlo. no asi nejvetsi porblem bude to ze na tom stroji na kterej chci tunnelovat nejsem root, ale jen obyc user, takze nemuzu vytvorit dalsi zazireni, jinak by to asi nebyl moc problem, treba s opnvpn

[jiri.b]

No nevim zda jsem to pochopil... Zkus spiznout semka Používáme SSH III.

Jiri

[lojza]

hmm... tak to je jen presmerovani urciteho portu, to mi je na nic. ja potrebuju presmerovat cely provoz, na mim stroji aby to vytvorilo asi nejakej tunel a prez ten to slo vse do toho druhyho stroje, a az ten by to posilal do internetu.

[jm]

Ted nejak nechapu, jestli myslite VPN, a uz vubec nechapu, co myslite tim veskery provoz. Jake sluzby potrebujete pouzivat?

[lojza]

pristup na internet, ne jen 80, ale vsechno -> vsechen provoz ano, myslim vpn, ale abych pro konfiguraci nemusel byt na druhem pc root

[jm]

Prosimvas, vy chcete opravu tunelovat napr. lokalni DNS a ICMP? Mel byste si to nejak ujasnit, jestli chcete HTTP, FTP, ICQ, IRC nebo jeste neco dalsiho, ale vsechny sluzby opravdu tunelovat nechcete.

[lojza]

ja nechci pro kazdou sluzbu tunel, ja chci tunnel na vsechno. jako ze to budu mit u sebe jako dalsi sitovku a nastavim si ze se do ni ma routovat vse. a ptam se jak to udelam, mam ucet na jinym stroji na kterej to pujde (ten tunnel nebo to co mi poradite) a od tamtut to teprve pujde na internet

[Jiří Svoboda]

Ano, samozrejme to tak jde a ja to take pouzivam. Problem ale je, ze se to ale asi neobejde bez spoluprace roota toho druheho stroje. Minimalne na urovni 'chmod u+s /usr/sbin/pppd'.
Kdyz tak nad tim uvazuju, teoreticky by melo byt mozne udelat to i z userspace, ale o zadnem takovem programu nevim (tim nerikam, ze neexistuje).

[lojza]

no tak to jsem rad, ze me alespon nekdo pochopil :) no me prave jde o to abych nemusel mit zadny zasah roota na tom druhem stroji, snad jeste nekdo prispjeje, a poradi mi. ale stejne vam dekuji, mozna ze se s rootem dohodnu, no ale nevim, me prave slo o to aby o tom ON nevedel :))

[jm]

Prosimvas a CO podle vas pujde na ten internet??? VPN slouzi k propojeni dvou privatnich (bezpecnych) siti pres verejnou, nezabezpecenou sit (napr. Internet). Pokud chcete pouzivat nejake sluzby na internetu jakoby z jineho pocitace, nez u ktereho sedite, tak k tomu slouzi napr. onen SSH tunel plus proxy.

[lojza]

prosim vas, ja proste nechci aby muj cely traffic sel primo do internetu (kvuli sniffovani,atd) ale aby sel na nejaky jiny stroj, nekam jinam, kde uz to je bezpecne, a odtud muze jit primo do internetu, ja taky nemam verejny ip a jsem na segmentu s vice uzivateli

[Martin Tůma]

Možná blbá otázka, ale zkoušel si už nastavit ten server jako výchozí bránu? Třeba je tam povoleno routování přímo z tvojí sítě...

[lojza]

no tak tim bych si taky moc nepomohl, ja bych potreboval, aby to vse slo v jednom spojeni (jsem na intru a vypinaji nam internet, ale ESTABILISHED je povoleno :))

[Martin Tůma]

Možná se snažíš tunelovat na nesprávnym místě. Flaška pro správce síťe by třeba mohla způsobit "tunel" v konfiguraci serveru .

[lojza]

:))) tak to je asi zatim nejlepsi napad ze vsech. no ale neni to moc realizovatelny, nas spravce je rad ze nam to na noc vypina, alespon si muze stahovat nejaky "jeho" potrebny veci prez kaazu :) no to je hroznej warezak

[lojza]

nejake dalsi napady?

[lojza]

nejake dalsi napady?

[lojza]

tak to vas uz nic nenapada? ja bych s tim fakt potreboval pomoct

[Janousek]

Jsem taky zacatecnik a abych pravdu rekl vubec jsem nepochopil co chces.

Pripada mi to ze:
1. Spravce omezuje data aby snizil mnozstvi prenasenych dat.
2. Tim blokuje vetsinu portu a povoluje jen nektere.
3. Pravdepodobne kontroluje limity.
4. Ale nektery port je volny.
5 Pres ten port chces smerovat cely svuj provoz.

Ale ma to problem:
1. Musis si uvedomit ze veskery karty ma v rukou on.
2. Pokud presmerujes cely provoz pres volny port okamzite na to prijde.
3. Snadno te zjisti podle IP a MAC adresy.
4. Vyvodi z toho zavery aby se to neopakovalo.

Jinak tip, pokud je to tak jak myslim:
1. Muj spravce pozival nejaky Winroute plus (nebo neco podobnyho)
2. Moc tomu nerozumel.
3. Blokoval vsechny porty mimo 110 a 53.
4. Postu na portu 25 mel pouze lokalne.
5. Port 80 znacne omezoval a kontroloval (spoustu filtru).
6. Tak jsem presmeroval provoz pomoci iptables pres port 110.
7. A bylo to.
8. Ale uplne tak hloupej nebyl, protoze si vsim, ze provoz mu stoupnul.

[lojza]

no me jde o to abych mohl cely muj provoz smerem na internet presmerovat na nejakej jinej pc ze kteryho by to teprve slo ven, ale ta konekse musi byt stale "spustena", ne to na kazdy pozadavek navazovat novou. a nestaci mi jen presmerovat urictej port, ja potrebuju vse, jako mit dalsi sitovku a do ni nastavit smerovani. sakra, snad nejakam moznost byt musi, ne? diky za Vase navrhy

[jm]

No, jak jiz bylo receno, tunelujes na spatnem miste.

[Jiří Svoboda]

Proboha lidi, kdyz o tom nic nevite, tak neodpovidejte a nebo pridejte sluvko "myslim". Zacnu novy 'subthread' zase vlevo...

[jm]

Proboha, myslite si, ze ten spravce je tak debilni, ze si nevsimne toho, ze zatimco doted v noci nikdo nic nestahoval a mel celou linku pro sebe, tak mu to najednou jede daleko pomaleji a je tam traffic jako hrom, i kdyz on sam nic nestahuje?

[Jiří Svoboda]

Autor dotazu tu nikde neuvedl pozadavek, aby spravce stroje _skrz_ ktery probiha ten tunel, nic nepoznal (to je samozrejme nemozne).
Autor dotazu pokud mozno chtel, aby se nemusel domlouvat s rootem stroje, kde bude _konec_ tunelu.

[jm]

No pokud si prectu tohle:

nas spravce je rad ze nam to na noc vypina, alespon si muze stahovat nejaky "jeho" potrebny veci prez kaazu :) no to je hroznej warezak

tak je mi jasny, ze cela snaha o tunelovani provozu je uplne zbytecna, zatimco metoda socialniho inzenyrstvi by naopak mohla fungovat velmi dobre.

[Jiří Svoboda]

Socialnimu inzenyrstvi nic nebrani, myslel jsem ale, ze tu probirame technicke aspekty.
Vzhledem k tomu, ze ten warezak, i kdyz to vypina, nechava bezet ESTABLISHED spojeni (jak je uvedeno vyse), tak:
- budou existovat dalsi netunelovana ESTABLISHED spojeni => na nejaky provoz i po zakazu je zvykly => jeden tunel se v tom musi ztratit, pokud se bude pouzivat rozumne (ne treba peer to peer)
- tunel bude funkcni celou noc, pokud se otevre "pred zavirackou"

[Jiří Svoboda]

Jak uz jsem jednou vyse rikal, vim _presne_ co chces a vim, ze to jde. Sam to pouzivam.
Nejjednodussi reseni je tunelovani ppp skrz ssh. Pouzivam to denne. Neni sice nejvhodnejsi (tahat TCP skrz TCP neni prilis efektivni) ale funguje to. Z hlediska uzivatele se to chova jako normalni modemove pripojeni. Vznikne interface ppp0 a na nej se da default route.
Dale pouzivam cipe. To uz jede skrz UDP a je fakt vynikajici.
Obe tato reseni jsou sifrovana.
Existuje vsak spousta dalsich reseni (sifrovanych i nesifrovanych), doporucuji precist si serial na root.cz.

Zasadni nevyhodou zminenych reseni je to, ze nastaveni vyzaduje spolupraci roota na druhem konci tunelu, coz nechces. Bez roota je to sice take principialne mozne, ale o zadne existujici aplikaci nevim.

A odpovedi, ze to nejde, zde uz nechci videt.

[lojza]

panejo, moc dekuji za snahu, no me nejde o nejaky stahovani prez noc, po tom ja netuzim, ja bych jen rad po "uzavirce" sel treba na irc, nebo si syncoval portage, nebo neco na co jsem zapomnel a chci to udelat ted. ne zase az dalsi den, na http mam tunnel zvlast, abych zatim mohl alespon na web, ale rad bych i na ostatni sluzby, no skoda, zatim zadne funkcni reseni neni, sand jeste nekdo prispeje a poradi :)

[....]

no tak to fakt nevim jak ti poradit :)

[emil carda]

no ja ti moc neporadim :))

[lojza]

to uz padl muj dotaz do zeme zapomneni? jeste jakake navrhy, prosiiiim! diky

[lojza]

skoda ze muj dotaz upadl do "zeme zapomeni" :)

[Radek Podgorny]

Hele lojzo, co kdybys to tu prestal zamorovat? Proc to musim pokazdy otevrit (a cist) znova jen proto, abych zjistil, ze pribyla dalsi debilni otazka? Pokud to vyskoci jako aktivni tema, predpokladam, ze nekdo poslal ODPOVED!!! Kdyz se k odpovedi nikdo nema, zacni laskave hledat na netu a pak sem posli reseni...

[lojza]

skoda ze muj dotaz upadl do "zeme zapomneni" :)

[lojza]

problem je ze vubec netusim kde to mam hledat, prosel jsem toho uz spoustu, ale stale nikde nic. google, czfree, ... ale nikde neni ten problem co mam ja. tak doufam ze mi nekdo poradi

[jm]

Tak to uz by snad stacilo, ne?