Page 5 of 17 FirstFirst ... 3456715 ... LastLast
Results 61 to 75 of 244

Thread: Использование ssh-тунелей для безопасного доступа к ресурсам LAN

  1. 31-01-2009, 07:09 #61
    al37919
    al37919 is offline Forum Guru
    Join Date
    Feb 2007
    Location
    Moscow, Russia
    Posts
    3,805
    а кто обещал легкость для файловой-системы-только-для-чтения? Откровенно говоря даже не знаю что можно сделать с ether-wake. Чтобы он работал нужно, чтобы у busybox стоял SUID, а это значит, что этот признак будет и у всех остальных утилит, а это есть дыра в безопасности огромного размера.

    Я бы вам посоветовал обратить внимание на внешние утилиты для той же цели. Им при необходимости можно выставить права какие надо.
    ipkg list wake
    perl-wakeonlan - 0.41-1 - A Perl script that sends 'magic packets' to wake-on-LAN enabled ethernet adapters and motherboards, in order to switch on remot
    wakelan - 1.1-2 - send the magic wakeup package over the LAN
    Reply With Quote Reply With Quote
  2. 11-03-2009, 19:02 #62
    shaman1010
    shaman1010 is offline Junior Member
    Join Date
    Oct 2007
    Posts
    8
    Покурил микроман по putty, потратил пару дней, но результата так и не увидел. Нужна помощь.
    Задача стоит такая:
    1) Имеем комп на XP, внутри корпоративной сети. (ip 172.48....)
    2) Выход в мир через проксю.
    3) С другой стороны стоит ASUS 500gP роутером, через модем в бридже на нем поднято PPPoE. Имеем внешний стат. адрес (ip 79.12...)
    4) На ASUSе поднят ssh (dropbear), прописан входной порт в iptables.
    5) Внутри локалка с диапазоном 172.15...
    6) У ASUSа статический адрес в локалку 172.15.15.200

    Что имеем:
    1) С корпоративного компа поднимается ssh-тунель на внешний ip роутера (79.12. Взлетает с полпинка.
    2) В правилах тунеля (пробовал и через putty и через plink) прописаны несколько правил типа -L 3395:172.15...:3389 и -L 3389:172.15.15.200:3395 и -R3395:172.48...:3389
    3) При поднятии с корпоративки rdp вида localhost:3395 - на машину за NATом из локалки 172.15... влет нормальный, с клиент-серверными прогами в ту сторону - тоже без проблем, НО...

    Что не получается:
    1) При поднятом с корпоративки туннеле зайти на корпоративный комп из своей локалки.

    Как я понимаю при двух предыдущих правилах теоретически должно было быть при поднятии с локалки (172.15....) rdp типа 175.15.15.200:3395 все завестись, но не заводится :-))
    Пробовал и localhost:3395 и с правилами тунеля эксперименты проводить (-L 3389:172.15.15.200:3395 и -R 3395:172.48...:3389 и двойной туда - обратно и др. варианты), но при любом раскладе получается с компа, на котором поднят тунель влетает куда угодно, но в обратную сторону - нелетная погода :-))

    Где туплю?
    Last edited by shaman1010; 11-03-2009 at 19:16.
    Reply With Quote Reply With Quote
  3. 12-03-2009, 06:49 #63
    al37919
    al37919 is offline Forum Guru
    Join Date
    Feb 2007
    Location
    Moscow, Russia
    Posts
    3,805
    Quote Originally Posted by shaman1010
    Покурил микроман по putty, потратил пару дней, но результата так и не увидел. Нужна помощь.
    Задача стоит такая:
    1) Имеем комп на XP, внутри корпоративной сети. (ip 172.48....)
    2) Выход в мир через проксю.
    3) С другой стороны стоит ASUS 500gP роутером, через модем в бридже на нем поднято PPPoE. Имеем внешний стат. адрес (ip 79.12...)
    4) На ASUSе поднят ssh (dropbear), прописан входной порт в iptables.
    5) Внутри локалка с диапазоном 172.15...
    6) У ASUSа статический адрес в локалку 172.15.15.200

    Что имеем:
    1) С корпоративного компа поднимается ssh-тунель на внешний ip роутера (79.12. Взлетает с полпинка.
    2) В правилах тунеля (пробовал и через putty и через plink) прописаны несколько правил типа -L 3395:172.15...:3389 и -L 3389:172.15.15.200:3395 и -R3395:172.48...:3389
    3) При поднятии с корпоративки rdp вида localhost:3395 - на машину за NATом из локалки 172.15... влет нормальный, с клиент-серверными прогами в ту сторону - тоже без проблем, НО...

    Что не получается:
    1) При поднятом с корпоративки туннеле зайти на корпоративный комп из своей локалки.

    Как я понимаю при двух предыдущих правилах теоретически должно было быть при поднятии с локалки (172.15....) rdp типа 175.15.15.200:3395 все завестись, но не заводится :-))
    Пробовал и localhost:3395 и с правилами тунеля эксперименты проводить (-L 3389:172.15.15.200:3395 и -R 3395:172.48...:3389 и двойной туда - обратно и др. варианты), но при любом раскладе получается с компа, на котором поднят тунель влетает куда угодно, но в обратную сторону - нелетная погода :-))

    Где туплю?
    во первых использование в виде приватных адресов взятых от балды диапазонов не есть гут и вероятная причина для проблем.

    Цитирую http://www.sovety.net/040000.php

    При построении (проектировании) внутренней IP-сети при выборе диапазонов статических адресов (либо диапазонов для выделения адресов DHCP-серверами) следует придерживаться рекомендаций RFC3330, в соответствии с которыми для использования во внутренних сетях зарезервированы следующие диапазоны адресов, установленные RFC1918:
    10.0.0.0/8 (10.0.0.0–10.255.255.255); 1 сеть класса A
    172.16.0.0/12 (172.16.0.0–172.31.255.255); 16 сетей класса B
    192.168.0.0/16 (192.168.0.0–192.168.255.255); 256 сетей класса C
    Согласно документу, данные диапазоны адресов не должны появляться в Интернете. В соответствии с RFC3330 любой маршрутизатор в Интернете, обнаружив IP-пакет с адресом из указанного диапазона (неважно, источник или приёмник), обязан его уничтожить.

    ну а по существу трудно сказать надо экспериментровать дальше.

    очевидно должен использоваться туннель типа -R причем одного должно быть достаточно для связи "обратно" и один -L для "туда"

    можно проверить, что туннель установлен выполнением
    PHP Code:
    netstat -na | grep LISTEN 
    и еще проверить удается ли зайти туда из самой локалки --- т.е. работоспособность сервиса, файрвол и т.д.
    Reply With Quote Reply With Quote
  4. 12-03-2009, 07:50 #64
    shaman1010
    shaman1010 is offline Junior Member
    Join Date
    Oct 2007
    Posts
    8
    Спасибо за прочтение :-))

    "во первых использование в виде приватных адресов взятых от балды диапазонов не есть гут и вероятная причина для проблем."

    Диапазон в моем примере - чисто условный, на самом деле обе сетки подпадают под это:

    "172.16.0.0/12 (172.16.0.0–172.31.255.255); 16 сетей класса B"

    "можно проверить, что туннель установлен выполнением
    PHP Code:
    netstat -na | grep LISTEN 
    "

    Вот что у меня... (на сейчас подъем по таким правилам:
    PLINK.EXE -v -P 1150 -ssh -2 -l юзер -pw пароль -N -T -a -x -noagent -batch -R 172.15.15.200:2220:172.48.1.150:2210 -L 172.48.1.150:2220:172.15.15.200:2210 79.11.12.13....(здесь адреса не те, которые используются в реале, все ip соответствуют классу В, но для примера я их чуток поменял :-)) на самом деле смотрим на 172.15... а использую 172.19...., так что эти пакеты не дропаются, да и в одну сторону тунель работает всегда!))
    п
    ри поднятии указано, что все гуд...(3389 прописаны в putty)

    Access granted
    Local port 3390 forwarding to 172.15.15.3:3389
    Local port 172.48.1.150:2220 forwarding to 172.15.15.200:2210
    Requesting remote port 3390 forward to 172.48.1.150:3389
    Requesting remote port 172.15.15.200:2220 forward to 172.48.1.150:2210
    Remote port forwarding from 2210 enabled
    Remote port forwarding from 3390 enabled
    Remote port forwarding from 172.15.15.200:2220 enabled

    $ netstat -na | grep LISTEN
    tcp 0 0 0.0.0.0:1024 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:1025 0.0.0.0:* LISTEN
    tcp 0 0 127.0.0.1:2210 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:515 0.0.0.0:* LISTEN
    tcp 0 0 172.15.15.200:139 0.0.0.0:* LISTEN
    tcp 0 0 172.15.15.200:2220 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:9100 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:8080 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:8081 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:21 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:53 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:5431 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:23 0.0.0.0:* LISTEN
    tcp 0 0 127.0.0.1:3395 0.0.0.0:* LISTEN
    tcp 0 0 0.0.0.0:3838 0.0.0.0:* LISTEN
    unix 2 [ ACC ] STREAM LISTENING 1318 /tmp/php-fastcgi.socket-0
    unix 2 [ ACC ] STREAM LISTENING 1323 /tmp/php-fastcgi.socket-1
    unix 2 [ ACC ] STREAM LISTENING 1326 /tmp/php-fastcgi.socket-2
    unix 2 [ ACC ] STREAM LISTENING 1329 /tmp/php-fastcgi.socket-3



    "и еще проверить удается ли зайти туда из самой локалки --- т.е. работоспособность сервиса, файрвол и т.д."

    С корпоративной локалки по 2210 - влет без проблем, и с корпоративки по 2220 на свою локалку за натом - тоже влет без проблем, проблема только в обратном направлении...

    При попытках соединения по 2220 из своей локалки в логах:

    Received remote port 2220 open request from 172.15.15.3:4322
    Attempting to forward remote port to 172.48.1.150:2210
    Forwarded port opened successfully
    Forwarded port closed -------- с другой стороны пишет error connection closed, причем именно после начала отправления пакетов......


    И еще - на входной корпоративной проксе порт ssh (в примере 1150) должен быть разрешен?
    Last edited by shaman1010; 12-03-2009 at 08:13.
    Reply With Quote Reply With Quote
  5. 13-03-2009, 07:12 #65
    AlekseyA
    AlekseyA is offline Senior Member
    Join Date
    Mar 2008
    Posts
    285
    Нужна помощь!
    Дома на роутере все сделал по первому посту. Но с рабочего компа не могу открыть тунель, вылетает окно "Network error:Connection timed out"

    Подскажите как проверить работоспособность ssh-тунеля находясь дома?

    Есть еще подозрение что на работе сисадмин перекрыл многие порты. Подскажите как найти рабочий порт и как потом по ниму открыть тунель?

    PS: имею внешний стат-IP.
    Все выше сказанное ИМХО (Имею Мнение, Хрен Оспоришь)
    ASUS WL-500g Premium + (1.9.2.7-rtn-r4667) + Tsunami eDATA 3500 with 1Tb + HPLJ1018 + Wake-On-LAN
    "Установка программ для чайника v.12.4" + Iconbit HD400DVD + APC Smart-UPS 1000XL + Samsung UE32C6620UWXRU
    Reply With Quote Reply With Quote
  6. 13-03-2009, 07:28 #66
    shaman1010
    shaman1010 is offline Junior Member
    Join Date
    Oct 2007
    Posts
    8
    Для поднятия тунеля из рабочего места на домашний роутер должно соблюстись несколько условий:
    1) работоспособность самого тунеля (можно проверить поднятием из домашней локальной сети.
    2) в файрволе роутера должен быть разрешен входящий порт, по которому будет осуществляться подъем ssh/
    3) прокся на работе не должна отфутболивать 443 порт (вне зависимости от порта поднятия ssh на домашнем роутере). Т.е. запросы ssh изначально шуруют через 443 порт, вне зависимости от http-ного порта прокси или порта, по которому поднимается ssh на роутере.

    По крайней мере с поднятием тунеля с рабочего места на домашний роутер больше особых заморочек нет (ну если ты не забыл в putty прописать через какую проксю ему на работе бегать :-))
    Reply With Quote Reply With Quote
  7. 13-03-2009, 08:17 #67
    ABATAPA
    ABATAPA is offline Forum Guru
    Join Date
    Nov 2007
    Posts
    1,401
    Quote Originally Posted by shaman1010 View Post
    Для поднятия тунеля из рабочего места на домашний роутер должно соблюстись несколько условий:
    Ну, вообще-то достаточно хотя бы 1 порта для подключения к SSH - и ssh из OpenSSH, и Putty могут выступать в качестве SOCKS-прокси. И тогда никаких других туннелей для доступа, например, к панели управления (или web-консоли transmission, и т.д.) не нужно.

    PS: Это описано в инструкции.
    © 2008-2013 ABATAPA WL-500gP/128M / Asus RT-N16 / USB Flash / VLAN / PPPoE / VoIP / nShaper / NAS: iStor is607, Sarotech NAS-20, QNap 109 Pro / NFS / Принтер / etc
    Reply With Quote Reply With Quote
  8. 13-03-2009, 09:26 #68
    AlekseyA
    AlekseyA is offline Senior Member
    Join Date
    Mar 2008
    Posts
    285
    Quote Originally Posted by shaman1010 View Post
    Для поднятия тунеля из рабочего места на домашний роутер должно соблюстись несколько условий:
    1) работоспособность самого тунеля (можно проверить поднятием из домашней локальной сети.
    Поясните, что значит "поднятием из домашней локальной сети".
    В домашней сети (192.168.1.1/255) с ББ по LAN и ноут по WI-FI putty-ssh открывается и работает, но это есть в каждой инструкции с нуля, через это происходит настройка роутера.
    Это имеется ввиду?

    2) в файрволе роутера должен быть разрешен входящий порт, по которому будет осуществляться подъем ssh/
    В post-firewall прописано, как в первом посте:

    #! /bin/sh
    # set default policy
    iptables -P INPUT DROP
    # remove last default rule
    iptables -D INPUT -j DROP
    iptables -A INPUT -p tcp --syn --dport 22 -j ACCEPT

    3) прокся на работе не должна отфутболивать 443 порт
    Как это проверить?

    (ну если ты не забыл в putty прописать через какую проксю ему на работе бегать :-))
    Поясните, что имелось ввиду, вроде на работе нет прокси. Как это проверить? И если она все же есть, где прописать в putty?

    Да, похоже есть ещё одна проблема: сеть провайдера типа 10.1.51.1
    Все выше сказанное ИМХО (Имею Мнение, Хрен Оспоришь)
    ASUS WL-500g Premium + (1.9.2.7-rtn-r4667) + Tsunami eDATA 3500 with 1Tb + HPLJ1018 + Wake-On-LAN
    "Установка программ для чайника v.12.4" + Iconbit HD400DVD + APC Smart-UPS 1000XL + Samsung UE32C6620UWXRU
    Reply With Quote Reply With Quote
  9. 13-03-2009, 10:47 #69
    kozian
    kozian is offline Junior Member
    Join Date
    Mar 2009
    Posts
    25
    Есть такая программка - Bitwise Tunneler.
    Бесплатная, если "personal usage" ;-)
    Позволяет делать ПортМеппинги прямые и обратные, а так же встроеная прокси socks4\5\http и дополнительные приблуды.
    В дополнении программками типа SocksCap (позволяет все соединения программы посылать через socks проксю), очень просто любое приложение тунелировать. Игры, Броузеры, Почтовые клиенты.
    Предлагаю включить в первоначальное описание ;-)
    Reply With Quote Reply With Quote
  10. 13-03-2009, 11:01 #70
    kozian
    kozian is offline Junior Member
    Join Date
    Mar 2009
    Posts
    25
    2 AlekseyA
    Если расчитывать, что есть внешний IP, и он указан правильно, то:

    1. Запускать SSH на роутере нужно на 80 или 443 порту, т.к. скорее всего остальные закрыты. (в нормальных местах 443 закрывают тоже по-умолчанию)
    Как альтернатива, можно прописать роутер у себя в виде виртульного сервера с local port - 22. (внешний порт 443, локальный порт 22, локальный IP - 192.168.1.1). Так настроено у меня - работает.

    2. iptables -A INPUT -p tcp --syn --dport [22] -j ACCEPT
    Его, соответственно, заменить на 80 или 443.

    3. Если прокси на работе есть, скорее всего ее надо указать в свойствах подключения ssh клиента.

    p.s. проверять можно, заходя через броузер (ставя соответсвующий порт) и смотря статус соединения или ошибки. типа http://some.server.ru:22/
    Reply With Quote Reply With Quote
  11. 13-03-2009, 11:24 #71
    al37919
    al37919 is offline Forum Guru
    Join Date
    Feb 2007
    Location
    Moscow, Russia
    Posts
    3,805
    Да, похоже есть ещё одна проблема: сеть провайдера типа 10.1.51.1
    это серый IP, снаружи он не будет виден.
    Reply With Quote Reply With Quote
  12. 13-03-2009, 12:11 #72
    AlekseyA
    AlekseyA is offline Senior Member
    Join Date
    Mar 2008
    Posts
    285
    Ребята! kozian и al37919 спасибо за помощь!
    Единственная просьба: ответы немного развернутей можно? *nix начал изучать с приобретением WL-500gP.
    Quote Originally Posted by kozian View Post
    1. Запускать SSH на роутере нужно на 80 или 443 порту
    Проверил на работе похоже работает только 80 порт. Достаточно ли будет записать dropbear -p 80 в post-boot или необходимо изменить что-то ещё? На данный момент в post-boot записано dropbear > /dev/null 2>&1.

    Как альтернатива, можно прописать роутер у себя в виде виртульного сервера с local port - 22. (внешний порт 443, локальный порт 22, локальный IP - 192.168.1.1).
    Как это сделать, если будет необходимость?

    3. Если прокси на работе есть, скорее всего ее надо указать в свойствах подключения ssh клиента.
    В какой вкладке это находится и как опредилить есть или нет прокси?
    В IE в свойствах на рабочем компе такое:


    al37919
    это серый IP, снаружи он не будет виден.
    В посте 20 данной темы было написано что за NAT провайдера достучаться не поличится, вот я и не знаю что делать и где копать.
    Все выше сказанное ИМХО (Имею Мнение, Хрен Оспоришь)
    ASUS WL-500g Premium + (1.9.2.7-rtn-r4667) + Tsunami eDATA 3500 with 1Tb + HPLJ1018 + Wake-On-LAN
    "Установка программ для чайника v.12.4" + Iconbit HD400DVD + APC Smart-UPS 1000XL + Samsung UE32C6620UWXRU
    Reply With Quote Reply With Quote
  13. 13-03-2009, 16:16 #73
    al37919
    al37919 is offline Forum Guru
    Join Date
    Feb 2007
    Location
    Moscow, Russia
    Posts
    3,805
    ПК1 --- прокси? --- <инет> --- провайдер --- <10.X.X.X> --- wl500g --- ПК2

    При такой конфигурации сети с ПК1 получить доступ напрямую к wl500g и ПК2 за ним нельзя.

    При условии, если на ПК1 белый адрес и прокси пустит на какой нибудь его порт с улицы, то можно пытаться поднять туннель с wl500g на ПК1, предварительно поставив ssh сервер на ПК1. В этом случае если очень повезет и все заработает, то можно будет с ПК1 зайти на wl500g и ПК2

    Это то, о чем упомянутый пост serebr и с чем он потом боролся и в конце концов успешно
    Reply With Quote Reply With Quote
  14. 14-03-2009, 08:04 #74
    kozian
    kozian is offline Junior Member
    Join Date
    Mar 2009
    Posts
    25
    Quote Originally Posted by AlekseyA View Post
    Ребята! kozian и al37919 спасибо за помощь!
    Единственная просьба: ответы немного развернутей можно? *nix начал изучать с приобретением WL-500gP.


    Проверил на работе похоже работает только 80 порт. Достаточно ли будет записать dropbear -p 80 в post-boot или необходимо изменить что-то ещё? На данный момент в post-boot записано dropbear > /dev/null 2>&1.
    Ну тогда можно dropbear -p 80 > /dev/null 2>&1
    перенаправление в dev/null нужно, чтобы он сообщения не выдавал в консоль.

    Quote Originally Posted by AlekseyA View Post
    Как это сделать, если будет необходимость?
    Это делается через web-интерфейс. Там NAT Setting -> Virtual servers
    Добавляешь
    Port Range 80
    Local IP 192.168.1.1
    Local Port 22

    Имя тоже какое-нить типа "перенаправление ssh с http"

    Quote Originally Posted by AlekseyA View Post
    В какой вкладке это находится и как опредилить есть или нет прокси?
    В IE в свойствах на рабочем компе такое:
    Тут проблемка, видимо ) Автонастройка прокси. Я, к сожалению, не знаю, как оно работает.
    Можно попробовать сделать так:
    1. Постараться сделать минимум соединений по сети. (закрыть броузеры и т.п.)
    2. Смотришь с помощью netstat -na в консоли винды, какие есть подключения
    3. Запускаешь iexplorer, открываешь какую-нибудь страницу, смотришь опять netstat -na, какое новое соединение появилось.
    (или можно netstat -nab, и посмотреть по PID експлорера его)
    оно будет твоего компьютера до какого-то сервера (прокси) с портом 8080 или 3128 - это стандартные порты прокси.

    Вот эти IP и порт и будут прокси...

    Quote Originally Posted by AlekseyA View Post
    al37919

    В посте 20 данной темы было написано что за NAT провайдера достучаться не поличится, вот я и не знаю что делать и где копать.
    Кстати, самая большая проблема... Проверить достоверно можно так:
    1. Заходишь через web-интерфес, Status & Log -> Status, смотришь там поле в WAN Interface - IP adress.
    2. Заходишь на myip.yandex.ru, смотришь, какой у тебя там выдался IP - это твой внешний IP или IP шлюза провайдера...

    Если адреса в обоих случаях одинаковые - все нормально, внешний адрес.
    Если разные - то, скорее всего, ничего не получится...
    Reply With Quote Reply With Quote
  15. 15-03-2009, 12:52 #75
    AlekseyA
    AlekseyA is offline Senior Member
    Join Date
    Mar 2008
    Posts
    285
    Quote Originally Posted by al37919 View Post
    ПК1 --- прокси? --- <инет> --- провайдер --- <10.X.X.X> --- wl500g --- ПК2

    ...с чем он потом боролся и в конце концов успешно
    Ситуация похожая один в один. Только про прокси пока ничего сказать не могу, это оставим до понедельника.

    Внешний-домашний IP адрес в инете статический, я за него прову плочу. На работе внешний вроде тоже всегда один и тотже показывает.


    Сделал dropbear -p 80 > /dev/null 2>&1 и в Virtual servers все настроил.

    Putty отказывается заходить по ssh, по телнету заходит.
    По команде ps --- dropbear не появляется. что то не так?
    Возвращая dropbear > /dev/null 2>&1, ssh работает.

    Нужно ли исправлять строчку
    iptables -A INPUT -p tcp --syn --dport 22 -j ACCEPT
    на 80
    Last edited by AlekseyA; 15-03-2009 at 13:37.
    Все выше сказанное ИМХО (Имею Мнение, Хрен Оспоришь)
    ASUS WL-500g Premium + (1.9.2.7-rtn-r4667) + Tsunami eDATA 3500 with 1Tb + HPLJ1018 + Wake-On-LAN
    "Установка программ для чайника v.12.4" + Iconbit HD400DVD + APC Smart-UPS 1000XL + Samsung UE32C6620UWXRU
    Reply With Quote Reply With Quote
Page 5 of 17 FirstFirst ... 3456715 ... LastLast
« Previous Thread | Next Thread »

Similar Threads

  1. Тестирование скорости чтения/записи USB-HDD.
    By ABATAPA in forum Russian Discussion - РУССКИЙ (RU)
    Replies: 87
    Last Post: 20-06-2013, 13:11

Tags for this Thread

Posting Permissions

  • You may not post new threads
  • You may not post replies
  • You may not post attachments
  • You may not edit your posts
  •  

Forum Rules