Dotaz: Spouštění příkazu na dálku bez veřejné IP

[matata]

Ahoj, je nějaká aplikace/řešení pro linux, které by fungovalo podobně jako na Androidu aplikace Auto remote. Stejně tak fungují některé služby jako Syncthing apod.

Čili nemám veřejnou IP, ale zvenčí potřebuji spustit nějaký příkaz na raspberry.

Taková moje představa (možná debilní :D ) je, že na linuxu mam nainstalovaný software, který naslouchá určitému http requestu. Např.: sluzba.cz?key={secret_key}&action={action_name}

V aplikaci bych nastavil že pro určitou akci se má vykonat nějaký příkaz v terminálu.

Vyhodu vidím v tom, že bych nepotřeboval veřejnou ip. Mohl bych stejným requestem přistupovat zvenčí i zevnitř a např. kdyby nešel internet nebo byla krabička vypnutá, po zapnutí a spuštění služby by tyto requesty přisly a vykonaly se. Což by se klasicky nestalo.

Snad je to srozumitelně. Existuje něco takoveho? Diky moc.

Odpovědi

[PetebLazar]

Pokud zmíněný Linux nebude mít veřejnou IP adresu, tak požadavek z Internetu tj. http(s) request na něm nemí možno vyvolat (není na něj z Internetu spojení).

Dovedu si představit dvě možnosti, zapojit Linux(trvale) a RC(mobil?) podle potřeby do společné VPN (realizovanou VPN serverem v Internetu cizím/vlastním) a tím zajistit možnost napojení z RC na Linux, případně nechat z Linuxu periodicky testovat obsah určitého URL na svém webhostingu, na jehož změnu(obsah) bude Linux patřičně reagovat.

[matata]

Rozumim... Nemyslel jsem http request primo na ten server, ale spise na nejakou sluzbu, ktera by nasledne do toho linuxu poslal nejakou message a na tu linux reagoval pres tu aplikaci.

Aby ti to nějak mohlo fungovat, tak ten tvůj počítač bez veřejné IP adresy musí být připojen někam, kde ta veřejná IP adresa je. Tj. po startu toho počítače se musí spolehlivě spustit nějaká služba, která to zajistí. A ty se pak nějak připojíš na to dostupné zařízení s veřejnou ip adresou a nějak mu sdělíš, že se na tom nepřístupném zařízení má něco vykonat.

[Aleš Kapica]

Ty služby jsou založeny na tom, že hejlové tupě důvěřují serverům třetích stran na vnější síti, přes které honí data. V prvé řadě si tedy musíš zajistit aby ses do vnitřní sítě dostával důvěryhodným kanálem.

Druhá varianta. Nechat stroj z vnitřní sítě skriptem olizovat místo z vnější sítě, na které budeš mít možnost vlepit message na jejímž základě udělá nějakou akci.

[matata]

Ten webhosting bude asi dobra varianta

[pavele]

Kdysi jsem se to snažil řešit přes email, pošlu email se sekvencí, pc přijme email, najde sekvenci a spustí příkaz.

Potom jsem zkoušel místo spuštění příkazu spuštění hamachi nebo podobné služby a zaslání IP adresy do emailu, pro následné ssh připojení.

Nejjednodušší je třetí strana s hostingem s sshd demonem.

[Jendа]

„Olizování“ buď plýtvá zdroji (pokud to budeš dělat každých pár sekund), nebo budeš na akci čekat dlouho (pokud to budeš dělat jednou za pár minut). Trochu se tomu dá pomoct pomocí Long Polling/Comet, ale je to opruz programovat a provozovat a možná pro to standardní webhosting nebude mít podporu (budou tam nějaké drsné timeouty, nepůjde běžícímu PHP požadavku říct že má poslat data…).

Osobně mi přijde naprosto nejlepší pořídit si nějakou levnou VPS (v ČR Forpsi, v zahraničí Contabo nebo opravdu lowendový liveinhost.com), navázat na ni OpenVPN a přesměrovat do ní port. Nevýhoda je, že to stojí řádově 50-100 Kč/měsíc, a když pro to nemáš žádné jiné využití, tak to je takové zbytečné.

Byly tu posledně následující služby, ale osobní zkušenost s nimi nemám: https://www.zerotier.com/pricing/, https://www.vpn.net/, https://ngrok.com/

Teoreticky když poprosíš a zrovna budu mít KOPR, tak ti to udělám u sebe, ale když to přestane fungovat, tak taky můžeš čekat hodně dlouho na vyřešení.

[jiwopene]

Na tohle mi připadá celkem dobře použitelný Tor (viz #17) – elminuje se tím to olizování, výpadek serveru, přes který data jdou nehrozí (to by musel spadnout celý Tor po celém světě najednou), spojení je šifrované (v mém řešení tam je ještě navíc SSH, takže má uživatel nad zabezpečením plnou kontrolu) a nikoho nezajímá jaká data a kolik si přes to posílá.

[Petr Šobáň]

Bez veřejné IP se to nedá.

Vždy musíš mít někde veřejnou IP, kde ten PC bez veřejné IP se bude připojovat na ten PC s veřejnou IP a bude nějak komunikovat - jak to záleží na tobě zda si nějaký port budeš přeposílat na ten PC s neveřejnou IP nebo budeš číst nějakou frontu a podle ní spouštět příkazy atd.......

[Peter Golis]

Nie je náhodou verejná IPv6 v cene? Niektorí poskytovatelia to tak majú. To by stačilo vypnúť Privacy Extension aby to zbytočne nemenilo IP adresu.

[j]

Zjevne netusis, jak to (ne)funguje ... privacy ext NEMENI ip adresu.

V IPv6 muzes mit adres klidne stovky ... a jedna z nich muze byt bud odvozena z MAC nebo GUID nebo klidne nastavena fixne. Privacy ext generuji dalsi IPcka pro odchozi spojeni. Coz sice neznamena, ze se na takovou adresu po dobu jeji platnosti nejde zvenku pripojit, ale je to hodne blbej napad. Ta vygenerovana adresa muze mit platnost v minutach nebo hodinach, podle nastaveni, ale vzdy je platna po dobu spojeni => bez ohledu na kratkou platnost zustane nastavena, pokud z ni probiha komunikace. Jenom se z uz neplatny adresy neda (nemelo by jit) navazat novy spojeni.

Na serverovych systemech je to pak typicky bydefault vypnuty.

2matata:

"Stejně tak fungují některé služby"

Presne jak tu zaznelo, vsechny tyhle sluzby fungujou tak, ze ty ses produkt, kterej oni zpracovavaj. A vsechna tvoje data ve skutecnosti nejsou tvoje ale jejich.

---

Dete s tim guuglem dopice!

[Peter Golis]

Pred časom som riešil identický problém na domácom NB ktorý používam aj ako taký akoby server. A použitie IPv6 s vypnutým Privacy Extension mi pomohlo. Tú fixnú IPv6 adresu mi ale router od poskytovateľa nechcel propagovať do internetu, tak som vypol Privacy Extension, a bol kľud. Stroj mám tak viditeľný z vonku na IPv6

Bolo to rýchlejšie a elegantnejšie ako žiadať aspoň PAT na IPv4.

PS: Matata nikde nepíše čo má k dispozícii, len sa pýta ako z toho elegantne vybrusliť. Ak by mal vonkajšiu IPv6, tak je za vodou.

Tú fixnú IPv6 adresu mi ale router od poskytovateľa nechcel propagovať do internetu

Jenom bych se zeptal, co si pod tím mám představit?

Ak by mal vonkajšiu IPv6, tak je za vodou.

Pokud "tam venku" sežene IPv6

[Peter Golis]

Tú fixnú IPv6 adresu mi ale router od poskytovateľa nechcel propagovať do internetu

Jenom bych se zeptal, co si pod tím mám představit?

Kvalitný firmware v prenajatom routeri. Tak kvalitný, že chráni užívateľa pred internetom.

Ak by mal vonkajšiu IPv6, tak je za vodou.

Pokud "tam venku" sežene IPv6

Nie tam vonku, ale vonkajšiu IPv6. Tú verejnú IPv6 mám v zmluve, aj so spomenutým obmedzením ktoré sa dalo zrušiť veľmi elegantne.

Tú fixnú IPv6 adresu mi ale router od poskytovateľa nechcel propagovať do internetu

Jenom bych se zeptal, co si pod tím mám představit?

Kvalitný firmware v prenajatom routeri. Tak kvalitný, že chráni užívateľa pred internetom.

Jako že ten router je tak dokonalý, že sice poskytuje do vnitřní sítě IPv6 rozsah, ale když ho začneš používat, tak tě nepustí ven? Vždyť na té vnitřní síti /64 může být asi 18 446 744 073 709 551 616 různých ipv6 adres. To ten router povolí jenom některé z nich?

Pokud "tam venku" sežene IPv6

Nie tam vonku, ale vonkajšiu IPv6. Tú verejnú IPv6 mám v zmluve, aj so spomenutým obmedzením ktoré sa dalo zrušiť veľmi elegantne.

Měl jsem na mysli, že pokud by předřečník matata měl doma veřejnou ipv6 adresu, tak potom někde venku, až by se chtěl domů připojit, měl by mít také ipv6 adresu.

[Peter Golis]

Ten router vo východzej konfigurácii s aktívnymi Privacy Extensions schovával užívateľa za NAT, a nepropagoval verejnú adresu. Aby BFU na desktop neútočili boty.

A či má Matata verejnú IPv6, tak to nespomínal. Veľa bežných ľudí to ani nevie. V mojom prípade som to síce vedel, ale začalo mi to fungovať až keď som prestavil východzie hodnoty. Keby ma nenapadla taká elegantná drobnosť, tak ten kábel odrežem a vrátim aj s modemom.

Dosť poskytovateľov v dnešnej dobe dáva verejnú IPku aspoň ako IPv6, keď je už rozsah IPv4 vyčerpaný. Možno to bol aj jeho prípad, a možno nie. To by musel potvrdiť on.

Ten router vo východzej konfigurácii s aktívnymi Privacy Extensions schovával užívateľa za NAT, a nepropagoval verejnú adresu. Aby BFU na desktop neútočili boty.

Privacy Extensions jsou vlastnost IPv6, která nemá s NATem nic společného. Navíc router na IPv6 síti asi těžko schovával uživatele za NAT. Na routeru je patrně firewall, který dovoluje uživatelům z vnitřní sítě navázání spojení ven, ale nedovoluje připojení zvenku dovnitř. Což je zcela normální nastavení. Pokud má ve vnitřní síti běžet nějaká služba dostupná zvenku, tak se ten přístup zvenku dovnitř logicky musí na firewallu povolit. A i kdyby byla úplně všechna spojení zvenku dovnitř povolena, tak navazování spojení na ip6 adresy, které se průběžně mění (privacy extension), není to pravé ořechové. Je patrně mnohem vhodnější použít nějakou ip6 adresu, která se v čase nemění.

[Peter Golis]

Áno. Ten FW sa aktivoval pre všetky stroje, ktorým bola pridelená Temporary IPv6 adresa (kvôli spomínaným Privacy Extensions). To malo za následok rovnaké chovanie, ako nasadenie NAT. Aj s vedľajším efektom, vonkajšia strana nevidela IPv6 aktuálne pridelenú na desktop z ktorého som išiel von. Videla len podobnú adresu z mne prideleného rozsahu.

[j]

To by me zajimalo co je to za router, ze pozna (asi telepaticky) IPcka generovany priv ext, od tech ostatnich ...

Spis se zda, ze v tom mas ale vopravdu poradnej hokej. Takze mozna trocha skoleni pro matersky skoly neuskodi ...

Priv ext byly vymysleny predevsim kvuli strojum, ktery se pohybujou ve vice sitich. Protoze ipv6 nema 128 bitu, ipv6 ma 64 bitu (a tohle dodneska nechapou ani ti co si obcas rikaj ISP). 64 bitu je totiz vyhrazeno (a bez toho to ani nefunguje) pro identifikaci konkretniho stroje. A pokud si ten stroj vygeneruje prave tuhle cast at uz z MAC nebo GUID, tak je porad STEJNA*. Takze se takovej stroj da jednoznacne identifikovat i kdyz se presune do jiny site. A prave proto aby to neslo, byly vymysleny privacy ext.

*Velice teoreticky se muze stat, ze nastane kolize adres, a pak by se vygenerovala jina.

BTW: Mimo jiny prave proto je minimalni pridel pro koncaka /56, protoze cokoli mensiho je zcela nanic a zcela nepouzitelny. A kazdymu kdo breci ze tolik adres prece nemuze rozdavat rovnou a okamzite prokopnete prdel!

KAZDEJ ISP dostane automaticky (a ZADARMO!)* /32. Tzn ma k dispozici 16 777 216 takovych rozsahu. Kdyby mu to nahodou nestacilo, tak bez dalsiho a lusknutim prstu dostane /29. Staci si o to rict. Jinak receno, kazdej jeden provider v CR je schopen pridelit takovych rozsahu kazdymu vcetne nemluvnat nejmin 10. To teda v pripade, ze by byl vubec schopen vsechny pripojit. Kolik ze tak klientu maji ti nejvetsi? Mozna desetinu, ze? Takze kazdymu muzou tech rozsahu dat 100.

A to podotykam, ze kdyby nahodou nekomu nestacilo ani tech /29, tak pokud si to pamatuju dobre, staci kdyz dolozi vyuziti 30%, a dostane dalsi.

*Clensky poplatek je aktualne 1400E rocne, coz je na nase rekneme 40k, coz dava nejaky 3k mesicne - strasny, ja vim, 10 tristovkaru to zaplati. Kdyz se to prepocita na ty adresy ... tak tam bude tolik nul za desetinou, ze to snad nema smysl ani sem psat, ze? Ale jo ... dela to nejakych 0,002 Kc ROCNE za jednu /56 (teda v nejhorsim pripade). To az vam bude provider za ty drahy adresy pripocitavat ty stokoruny ... mesicne.

---

Dete s tim guuglem dopice!

[Peter Golis]

Ten router je taký biely, a má na sebe nápis ConnectBox, a dodala ho firma spadajúca pod Liberty Global. Tá istá firma mu aj upravovala firmware.

Teória ako niečo môže fungovať je veľmi pekná vec. Ale prax, kde to niekto nastaví podľa svojich predstáv je vec druhá. Najmä ak sa východzie nastavenia nezhodovali s popisom v produktovej špecifikácii.

A do materskej školy sa tým pádom môžeš vrátiť aj sám, možno tam ešte trafíš.

Tenhle modem/router? Mám doma. Naštěstí na ipv4 v bridge módu...

[Peter Golis]

Vyzerá podobne, ale vpredu má biele svetielko. Vyťahovať ho z poza skrine nebudem.

UPC na SK už pred rokmi prestala rozdávať verejné IPv4 bytovým klientom. Kto ju mal, tomu ostala. Nahradila to verejná IPv6 aj s ochranou klienta pred sebou samým, a vo východzom nastavení aj pred internetom.

[k3dAR]

dalsi varianta, porid si VPS, na nem sshd s prihlasenim jen klicu, pripravis klic kterej(jeho privatni cast) povoli/udela jen presmerovani portu, ze stanice se pripojis na vps s tim klicem(verejnou casti) a vytvoris si tak ssh tunel, nasledne se odkudkoliv pripojis na vps z neho na uzivatel_stanice@lokalhost:presmerovanej_port_ze_stanice, pripadne pokud nebudes chtit aby VPS k tomu mela pristup, tak si z ovladaci_stanice udelas podobne tunel na VPS a pak pristupujes z ovladaci_stanice pres port co proleze pres VPS do cilove_stanice...

[jiwopene]

Ano, existuje. Jmenuje se to Tor (nebo I2P, nebo … – takových služeb je spousta).

Zjednodušeně řečeno to funguje tak, že tvůj počítač je přes Tor připojený k několika jiným, přes které může navázat spojení nebo jiný počítač může navázat spojení s ním. Data procházejí přes několik vrstev šifrovaných spojení, takže by mělo být dohledat identitu daných počítačů obtížné.

Účely takovéhle sítě jsou asi dva: ① ±Anonymně přistupovat k internetovým službám a ② spojit dva počítače v této síti (hidden services.

Pro Android doporučuji aplikaci Termux, což je terminálový emulátor s přibaleným Debian-like systémem.

Nastavení end-to-end šifrovaného spojení pro shell, kopírování souborů, port forwarding, …

Tor není moc rychlý (resp. dlouho trvá než data přes půlku světa přejdou do druhého počítače), ale pro občasné používání nebo spouštění příkazů postačí.

1. Nainstalovat tor na oba počítače. Zpravidla to je balík tor (na Androidu aplikace „Orbot“). Kompletní Tor Browser (tedy tor + upravený Firefox) není třeba.
2. Nějak rozumně nastavit SSH – to asi už znáte.
3. Vytvořit tzv. hidden service, a to tak, že
   1. Do konfigurace Toru (torrc, zpravidla /etc/tor/torrc) připíšete:

      HiddenServiceDir /var/lib/tor/nazev_adresare_se_sluzbou
      HiddenServicePort 22 120.0.0.1:22

      22 je číslo portu v síti Toru Řádek s HidderServicePort můžete zopakovat několikrát za sebou pro otevření více portů na jedné adrese. 127.0.0.1:22 je adresa, kam se klient (řídící protistrana) pomocí této služby na daném portu připojí. V tomto případě port 22 (typický port SSH) na tomto stroji.
   2. Vytvoříte příslušný adresář, který jste napsal do konfiguračního souboru.
   3. Restartujete službu Toru (/etc/init.d/tor restart, resp. systemctl restart tor).
   4. Doména Vašeho serveru (náhodná písmena a číslice následovaná .onion) se objeví po restartu v souboru /var/lib/tor/nazev_adresare_se_sluzbou/hostname. Pokud ne, podívejte se do logu Toru.
4. Na klienta (řídící protistranu) nainstalujete Tor (bez nutnosti další konfigurace) a ncat (nebo jinou síťovou kočku s podporou SOCKS proxy serveru).
5. Připojíte¹ se přes ssh -oProxyCommand="ncat --proxy-type socks5 --proxy 127.0.0.1:9050" vasehostname.onion (doménu si upravde dle toho, co jste dostal od toru). Tím dostanete shell.

Informace o navázání grafického spojení a nastavení port forwardingu najdete v ssh(1). Pro kopírování souborů nahraďte ssh příkazem sftp (pro interaktiví spojení) nebo scp (kopírování souborů).

Pokud Vás bude něco týkající se nastavení Toru zajímat, odpovězte. Pokud to bude kolem SSH (a grafického spojení, port forwardingu, …), založte nové vlákno diskuse, protože tam na spojení Tor už nemá prakticky žádný vliv.

Někde bych měl mít pár řádků, které si můžete dát do konfigurace, abyste nemusel pšát to s ProxyCommand. Možná je pošlu v odpovědi.

---

¹ Předpokládám výchozí nastavení Toru, tedy SOCKS proxy na portu 9050.

[mnam]

Tvoj príspevok zaváňa blogom.

[jiwopene]

Trochu o tom uvažuji.

[Petr Fiedler]

Dost se za to přimlouvám.

[easySolution]

my sme v produkcii pouzivali twitter + cron + curl + grep a fungovalo to uplne super. Malo to iba jednu nevyhodu, musis mat developersky twitter ucet a je tam oneskorenie kym sa spusti cronjob.

[matata]

Moc všem děkuji.

[pavele]

Ještě jsem zkoušel Dropbox - poslat šifrovaný soubor s bash skriptem nebo soubor s nějakým klíčovým názvem...

[hardy]

este mozes skusit dyndns a port forwarding na to zariadenie za routrom

[jiwopene]

Na to musí mít veřejnou IP (za NATem je mu port forwarding na nic). Dyndns jen automaticky nastavuje DNS dle jeho aktuální IP.

[Indiánský lotr]

Variantou k TORu může být https://www.softether.org/ (vyvíjí nějaká univerzita), u kterého můžeš k nat traversingu použít jejich cloud a mít tak plnohodnotnou VPN.

[jiwopene]

Psal jsem, že je toho víc. Může třeba říct známému s veřejnou IP, aby mu otevřel port a (třeba přes SSH) si na něm nastavil port forwarding zpátky k němu.

[Pavel 'TIGER' Růžička]

Kdysi dávno, ještě v minulém tisíciletí jsem podobný úkol řešil emailem. Ani nevím, jestli to je v dnešní době vůbec možné.

[Peter Golis]

Email bol medzičasom pre väčšinu populácie nahradený pomocou Facebooku.

[Petr Šobáň]

Nějak pořád nechápu o co tu jde?

Prostě bez stroje který má veřejnou IP ať je jakákoliv to nejde řešit - prostě přes to nejede vlak!!!!!!!!!!!!

A jak se to bude řešit když bude někde PC s veřejnou IP to už záleží co od toho člověk požaduje.

Jak bylo zmíněno jde to pomocí různých VPN, mailů, nějakých proxi serverů, i soukromé řešení nějakých firem, cloudů, www serverů atd.....

Tady si musí uživatel ujasnit, jak často potřebuje spouštět určitou službu, jaké požaduje zabespečení, co se stane když ten stroj s veřejnou IP nebude dostupný atd.....