Dotaz: malý stroj za NAT a připojení přes SSH

[palardd]

Ahoj konfero, potřebuju zjistit, co mám vlastně hledat. Chci do sítě, která je za NAT, umístit malý linux box s VIA EPIA, malým diskem, abych měl nějakou "kotvu" v té síti.

A abych se tam "prostřelil", napadlo mě použít ssh, iniciovat spojení z malého boxu, směrem ven na nějaký můj server na páteři, tam si otevřít port SSH.

Na ten port se pak odkudkoliv připojovat ssh a protáhnout se až na ten malý Linux box.

Co mám přesně hledat? ssh on demand? Při rebootu by se ten tunel měl vytvořit znovu (nebo při nějakém rozpojení spojení).

Díky za nakopnutí správným směrem

---

---

Odpovědi

[Josef Kufner]

Chápu-li dotaz správně, máš Epiu za NATem a chceš se z vnějšího Internetu na ni připojit.

Možnosti:

1. Pokud máš na ten natující router SSH přístup, můžeš router použít jako jump host: ssh -J router palardd@epia.local
2. Pokud můžeš nastavit port forwarding na routeru, můžeš si přeposlat vnější port na tu Epiu.
3. Pokud router nemá veřejnou pevnou IP adresu, můžeš použít VPN (OpenVPN, Wireguard, cokoliv) a nechat Epiu, aby se připojila na VPN server někde na Internetu. Ty se pak připojíš k témuž VPN serveru a uvidíte na sebe.
4. Místo VPN může Epia vytvářet SSH tunel na nějaký veřejný stroj a přeposílat z něj port na lokální SSH server na Epii. Pokud takové volání SSH nastavíš jako Systemd službu, bude se to v pohodě startovat a restartovat.

Nejjednoduší asi bude nastavit si tu VPN. Sítě pak můžeš proroutovat a bude možné se připojovat na počítače v té síti bez komplikací.

[Indiánský lotr]

WireGuard jsem zrovna minulý týden nasazoval, svou velmi jednoduchou konfigurací jsem si jej zamiloval. Oproti OpenVPN je o dost rychlejší a znovu obnovení spojení není problém i to trvá maximálně 1/10 času oproti OpenVPN. Takže autorovi otázky bych jej sám doporučil jako nejlepší volbu.

[Jendа]

Ty asi máš na mysli SSH port forwarding (ssh -R 0.0.0.0:2222:localhost:22, a na serveru chceš povolit GatewayPorts; existuje autossh, které nějak řeší reconnect), já bych ale doporučil to takto nedělat, protože jsem osobně narazil na problémy, že na serveru zůstane viset proces mrtvého klienta, který obsadí port, a po reconnectu se tak nepodaří port obsadit a celé je to na prd. Mnohem lepší zkušenost mám s OpenVPN. Tam server klienta vidí na IP vrstvě a můžeš udělat forward (statickou adresu pomocí ccd (client config directory)). iptablesový:

-A PREROUTING -i eth0 -p tcp -m tcp --dport 2224 -j DNAT --to-destination stroj_ve_vpn:22
-A POSTROUTING -o tun0 -j MASQUERADE

nebo userspace:

socat TCP4-LISTEN:5022,reuseaddr,fork "TCP4:stroj_ve_vpn:22"

[otasomil]

Jsem obdobne tez resil a zde jiz osvedceny postup, samozrejme treba nejakou VPS: https://www.abclinuxu.cz/poradna/linux/show/429725

[Ecce]

Tailscale

[Peter Golis]

Kto spravuje ten NAT, a vedel by zapnúť PAT na tú krabičku vo vnútornej sieti?

[Jendа]

Description=Remote SSH Tunnel
ConditionPathExists=|/home/someuser/.ssh/id_rsa
After=network.target

[Service]
User=someuser
ExecStart=/usr/bin/ssh -C -N -T \
    -o ServerAliveInterval=15 \
    -o ServerAliveCountMax=4 \
    -o ExitOnForwardFailure=yes \
    -o ConnectTimeout=15 \
    -i /home/someuser/.ssh/id_rsa \
    -R *:22222:[::1]:22 \
    someuser@some.server.org
RestartSec=3
Restart=always

[Install]
WantedBy=multi-user.target