Dotaz: SSH + tunelovani

[Marek Boruvka]

Dobry den !! Mam problem pri vytvareni tuneloveho spoje pres ssh.

Jedna se o pripad kdy mam svuj linuxovy server (Slack 10.0) ve vnitrni privatni siti a provozuji na nem DNS + SMTP + SSH - tyto sluzby chci mit pristupne z internetu. Na nasi siti je i linuxovy router ktery je pripojeny do internetu a ma verejnou IP adresu. Nicmene na tom druhem routeru ja nejsem spravcem ale mam tam ucet. Proto jsem chtel vyuzit moznost protunelovat to pres SSH a to formou "presmerovani vzdalenych portu" Pouzil jsem tento prikaz na mem lokalnim serveru kde bezi sluzby -rikejmemu LOKAL a serveru co je pripojeny ado netu rikejme GW. tedy:

SSH -R 25:127.0.0.1:25 -g -n -N username@gw

Vse probehne OK tunel se nahodi ale .......

Na GW posloucha pouze na loopbacku te dy na 127.0.0.1:25 . tzn ze kdyz se z GW kouknu telnetem na port 25 tak se dostanu na svoje SMTP , pokud toto same udelam zvenku - mam smulu proste ssh nenalsloucha na sitovkach.

Kdyz jsem na zkousku udelal tunel "z druhe strany" - tedy sem ho navazoval z GW SSH -L 25:LOKAL -g -n -N username@LOKAL - tak je vse OK ssh posloucha na vsech rozhranich a bezproblemu se dostanu zvenku na sve SMTP . Byl bych rad navazoval ten tunel z meho routeru , protoze tam jsem spravcem ja a nikdo mi konfiguraky nezmeni a ssh na GW pojede porad :)

Cim to muze byt ze to nefachci ?

Odpovědi

[unchallenger]

Aby byly porty tunelované přes -R přístupné nejen z localhosta, musí být povoleno v konfiguráku GatewayPorts yes.

[Marek Boruvka]

Diky moc !!!

Uz to fici

[Koudis]

jezis ja to hledal 3 dny :)) huraaaa

[misoz]

Mne to v tej horucave nejako nepali ;-/ V konfiguraku coho? sshd na firewall-i?

[unchallenger]

man sshd_config ;-)

Já to ještě nedávno taky nevěděl a hledal ... asi minutu ... holt umím líp hledat :o)

[pasmen]

Jenom takova drobna otazecka: k tomu ale musim mit na strane serveru rootovsky prava ze?

[pasmen]

Tak uz je mi to myslim jasny. Prava roota potrebuju jen na forwardovani privilegovanych portu, ze? Nicmene jak zjistim ktere porty jsou privilegovane a ktere ne?

[unchallenger]

Privilegované jsou snad porty do 1024, ne?

[pasmen]

To jsem prave nevedel, kde se to da zjistit?

[unchallenger]

Já nevím, to je napsáno všude. Třeba na straně 162 knihy Velký průvodce protokoly TCP/IP -- Bezpečnost, kterou mám zrovna u sebe.

[Michal Marek (twofish)]

A jestli trváš na odkazu na TFM tak jsem to teď našel v ip(7)

[pasmen]

Leda ze by "Well Known" prot == privilegovany port.

[Tomáš Hála]

Well known (dobře známé) porty jsou ty, které najdeš např. v /etc/services. Je to prostě seznam čísel portů a služeb, které na těch příslušných portech nejčastěji pracují.

Privilegované porty jsou, jak říka Yeti, porty do 1024 a vyznačují se tím, že je může otevírat pouze uživatel s rootovskými právy.

Čili: well known port != privilegovaný port

[Michal Marek (twofish)]

Pravdu máte oba v průniku

Well known porty jsou ty, které jsou registrované IANA a jsou pod 1024.

http://www.iana.org/assignments/port-numbers.

[Michal Marek (twofish)]

Ne kecám, IANA označuje za Well known i ty nepřiřazené. Takže pravdu má pasmen.

[Tomáš Hála]

Pravdu díž, takže se omlouvám za dezinformaci a jsem zase o něco chytřejší

[pasmen]

To mi prave bylo divny, do /etc/services jsem se dival a tam bylo ze porty od 0 do 1023 jsou tzv. Well Known Ports, Yeti rikal, ze porty do 1024 jsou privilegovane, takze mi to tak nejak doslo...

[Marek]

Rad bych se pripojil s dotazem, rad bych ze sveho domaciho pocitace (MAC OS X, cili FreeBSD) pomoci SSH vytvoril tunel na firemni server, ktery je verejny a vyuzil moznosti posilat postu pres POSTFIX na stejnem serveru, a to bez pomoci autentifikace pred pop3, proste rad bych odeslal postu na localhost:25, ktera by byla presmerovana SSH -L -R na vzdaleny verejny server a jako tamni user odeslal postu, ze serveru je toto povoleno.

Cili jsem premyslel nasledovne:

ssh -L 25:SERVER:25

ale ono to samozrejme nefunguje, poradite ???

[jk]

Já jsem moment8ln2 líný nad tím uvažovat, zvlášť když se tam vyskytujou slova jako pop3 a postfix. Zkus prostudovat http://www.krypta.cz/articles.php?ID=167