Page 15 of 17 FirstFirst ... 51314151617 LastLast
Results 211 to 225 of 244

Thread: Использование ssh-тунелей для безопасного доступа к ресурсам LAN

  1. 17-05-2011, 21:32 #211
    ndvikulov
    ndvikulov is offline Junior Member
    Join Date
    Jun 2010
    Posts
    13
    Quote Originally Posted by ryzhov_al View Post
    Устанавливайте на роутере прокси-сервер, "слушающий" тот порт, который указан как destination port в настройках ssh-туннеля в putty.
    Извините, но как это сделать? В этом топике про прокси на роутере тоже ничего нет

    Без destination port не обойтись вообще? в топике на хабре его пустым оставляли.

    Как я понимаю, надо порт открыть на роутере, но почему нельзя через порт ssh всё передавать?
    Reply With Quote Reply With Quote
  2. 17-05-2011, 21:44 #212
    Ident
    Ident is offline Registered User
    Join Date
    Mar 2007
    Posts
    3

    Cool

    Давно стоит WL500g.Premium (первый) с родной прошивкой и никаких вопросов к работе роутера нет.

    На некоторых внешних ресурсах введена фильтрация по ip адресу, но одновременно с этим, доступ к ним надо получать из любой точки Интернета. Вначале рассматривал вариант установки ssh сервера на компьютере в сети за роутером и использовании туннелирования. Но потом вспомнил, что в Asus уже стоит linux, поэтому простая переброска трафика может быть выполнена вообще прямо на нём. Нашёл эту тему, но возникло несколько вопросов:

    1) Какая прошивка лучше, если требуется лишь NAT для локальной сети + ssh туннелирование?

    2) Тема создавалась в 2008 году и предлагалось использовать dropbear. Что-нибудь изменилось за три года? Может быть есть более эффективное решение?

    3) Потянет ли стандартный роутер одновременно десяток-два ssh туннелей (ssh клиент из внешнего мира, туннель на адресом во внешнем мире)? Не будет ли проблем с потерей пакетов, раздачей Интернета во внутреннюю сеть и т.п.? Какое может быть падение пропускной способности?
    Reply With Quote Reply With Quote
  3. 18-05-2011, 06:23 #213
    ryzhov_al
    ryzhov_al is offline Entware team
    Join Date
    Feb 2008
    Posts
    2,555
    Blog Entries
    5
    Quote Originally Posted by ndvikulov View Post
    Извините, но как это сделать?
    Необходимо установить tinyproxy/3proxy/polipo/squid или любой другой прокси-сервер на роутер. Как именно - смотрите в профильных темах.

    Quote Originally Posted by ndvikulov View Post
    Как я понимаю, надо порт открыть на роутере,
    Нет! Одного открытого ssh-порта достаточно.
    Quote Originally Posted by ndvikulov View Post
    но почему нельзя через порт ssh всё передавать?
    Потому, что передача данных через туннель ssh - это пересылка ip-пакетов по стандарту RFC4254, Section 7, где речь идёт о сетевом уровне OSI, а передача данных via proxy - это RFC2616, Section 8.1.3, где речь идёт о более высоком прикладном уровне OSI.

    Грубо говоря, если машина едет, то она не обязательно должна оказывать услуги такси.
    Reply With Quote Reply With Quote
  4. 18-05-2011, 09:08 #214
    A1ex
    A1ex is offline Member
    Send a message via ICQ to A1ex
    Join Date
    Jun 2005
    Posts
    60
    Quote Originally Posted by ndvikulov View Post

    З. Ы. в dd-wrt работало.
    и в rtn работает. А прокся в файрфоксе как на картинке в той статье настроена? Дело скорей всего в этом. Должна быть заполнена только строчка Узел SOCKS , все остальные строки должны быть пусты.
    з.ы. и конечно никакого прокси сервера на роутер устанавливать при этом не нужно
    Last edited by A1ex; 19-05-2011 at 06:57.
    RT-N16 TomatoRAF
    Reply With Quote Reply With Quote
  5. 19-05-2011, 07:21 #215
    Lore
    Lore is offline Member
    Join Date
    Dec 2007
    Posts
    47
    Quote Originally Posted by A1ex View Post
    и в rtn работает. А прокся в файрфоксе как на картинке в той статье настроена? Дело скорей всего в этом. Должна быть заполнена только строчка Узел SOCKS , все остальные строки должны быть пусты.
    з.ы. и конечно никакого прокси сервера на роутер устанавливать при этом не нужно
    Вот спасибо! А я-то забабахался искать в чем проблема, а всего-то надо было пустыми остальные поля в ффоксе оставить.

    Подтверждаю, всё отлично работает
    Reply With Quote Reply With Quote
  6. 19-05-2011, 12:17 #216
    Sashunya
    Sashunya is offline Senior Member
    Join Date
    Dec 2007
    Posts
    254
    Еще не забудьте в лисе поставить network.proxy.socks_remote_dns в true. Чтобы имена брала тоже с туннеля.
    Asus RT-N16: Transmission, Dlengine, прошивка от энтузиастов, Google SMS, Asus O!Play HDP-R1: прошивка от HD2, moServices, IXtreamer
    Reply With Quote Reply With Quote
  7. 11-06-2011, 17:07 #217
    andreyk
    andreyk is offline Registered User
    Join Date
    Jun 2011
    Posts
    1

    sshfs на wl500gp (1.9.2.7-rtn-r2972)

    Здравствуйте, друзья!

    Есть wl500gp с прошивкой 1.9.2.7-rtn-r2972. Хочу маунтить удаленные хосты через sshfs. Модуль fuse, как я понял, в ядре есть. Где взять собственно sshfs?
    PHP Code:
    $ ipkg list_installed | grep ssh
    openssh     - 5.8p2-1
    openssh    -sftp-server - 5.8p2-1 
    Reply With Quote Reply With Quote
  8. 09-07-2011, 18:33 #218
    Briz
    Briz is offline Junior Member
    Join Date
    Feb 2010
    Posts
    5

    Exclamation Недостатки SSH SOCKS proxy

    У меня получилось настроить всё по мануалу из первого поста. Соединяюсь с DIR-320 у себя в локальной сети. Вопросы:
    1. Как можно проверить есть ли шифрование передаваемых данных?
    2. Как настроить PuTTY на автоматическое соединение? Ярлык вида
    "C:\Program Files\PuTTY\putty.exe" -P 22 -v -ssh -l логин -pw пароль -T -N -noagent -D 1080:127.0.0.1:80 192.168.1.1
    приводил к соединению, но таже ICQ не подрубалась (а при работе с интерфейсом PuTTY - да).
    3. Минус такого прокси - не работает URL Filter из Internet Firewall (в web-морде). Возможно ли исправить сие положение дел?
    4. Всё, что обычно прописано в "C:\wINDOWS\system32\drivers\etc\hosts" теперь обращается к роутеру! Я думаю это не совсем правильно.
    Last edited by Briz; 09-07-2011 at 18:48.
    Reply With Quote Reply With Quote
  9. 19-01-2012, 09:17 #219
    rockbomber
    rockbomber is offline Junior Member
    Join Date
    Mar 2008
    Posts
    11
    Всем привет!
    Захотелось мне на работе устроить доступ к внутреннему jabber серверу из вне. Чтобы можно было в нем сидеть и отвечать на сообщения с телефона из любого места, а не только с рабочего ПК. Я не админ, доступа к jabber серверу не имею. По-этому решил сделать так.
    Дома есть WNR3500L с прошивкой 1.9.2.7-rtn-r3696M от Vampik с белым IP и SSH доступом из WAN.
    Все ПК и сервера на работе за NAT, по-этому я соединяюсь по SSH с установкой тоннеля через putty.

    192.168.0.5:5222 - адрес рабочего jabber сервера.
    4321 - порт, на котором становится доступен jabber сервер на роутере.
    Галочка "Remote ports do the same" - на сколько я понял, аналог ключа -g, делает на роутере этот порт доступным со всех хостов, а не только с localhost.
    Ок. Но тут то и загвоздка. Jabber сервер откликается только по localhost, а с LAN и WAN молчит.

    На предыдущей странице Vitaly_k описал похожую ситуацию, и написал, что решением является запуск dropbear с ключем -a.

    Теперь, собственно, вопросы:
    Все ли я делаю правильно, для осуществления замысла?
    Если да, то как можно изменить запуск dropbear, чтобы он запускался с нужным параметром?
    На форуме описываются способы установки dropbear с нуля, когда его запуск указывается в /usr/local/sbin/post_boot. Но что делать, если dropbear уже был прошивке? Директории /usr/local/sbin даже нету.
    Нашел скрипт /usr/sbin/dropbearstart, в конце которого идут строчки dropbear "$@" и exit $?.
    dropbear "$@" - как я понял и запускает ssh сервер.
    Правильно ли я понимаю, что, мне надо дописать к этой строке ключ -a (dropbear -a "$@"), и выполнить flashfs save && flashfs commit && flashfs enable && reboot ?
    Так же глянул файл /sbin/init. Там есть строчки dropbear и dropbearstart, но, насколько понял, его руками лучше не редактировать, т.к. он бинарный, а не скрипт.
    Reply With Quote Reply With Quote
  10. 19-01-2012, 10:07 #220
    rockbomber
    rockbomber is offline Junior Member
    Join Date
    Mar 2008
    Posts
    11
    Копнул глубже в поиск и нашел, что нужно отключить ssh server в web интерфейсе, и настроить его запуск вручную с нужными ключами, как тут, в четвертом пункте: http://wl500g.info/showpost.php?p=19984&postcount=2
    Т.е. надо лишь создать /usr/local/sbin/post-boot, вписать в него "#!/bin/sh" и "dropbear -a > /dev/null 2>&1", дать атрибут на исполнение и flashfs save &&
    flashfs commit && flashfs enable && reboot. И всё. Кажись, ни где не накосячил?

    Или накосячил? Будет ли доступен по WAN ssh сервер, после отключения его в web морде и проделывания выше упомянутых действий? Ведь через web интерфейс мы где-то указываем, что сделать доступным ssh по WAN. Не отключиться ли это правило, при отключении ssh в web интерфейсе, и надо будет прописывать правило вручную в post-boot?

    Ещё косяк нашел, если мы выключим ssh server в web морде, но наверняка он будет после этого запускаться на стандартном порту. Так что в файл post-boot пишем "dropbear -p 5190 -a > /dev/null 2>&1".
    А все потому, что на работе блокируют все порты, кроме веб-асечно-джабберных. Это и позволяет нам наслаждаться полноценным безлимитным интернетом, вместо того, чтобы работу делать А если все прокатит и с пробросом jabber сервера, то и за рабочим местом будет сидеть не обязательно
    Last edited by rockbomber; 19-01-2012 at 10:24.
    Reply With Quote Reply With Quote
  11. 19-01-2012, 17:03 #221
    rockbomber
    rockbomber is offline Junior Member
    Join Date
    Mar 2008
    Posts
    11
    Так, добрался до дома, где уже смело стал ковырять роутер, не боясь остаться без инета на работе
    Многое я предположил верно. Надо отключть ssh в web интерфейсе, создать исполняемый /usr/local/sbin/post-boot, вписать в него "#!/bin/sh" и "dropbear -a > /dev/null 2>&1".
    Кроме того, как я боялся, туда же надо вписать "iptables -I INPUT -p tcp --dport 5190 -j ACCEPT" для доступа к ssh по WAN, а так же "iptables -I INPUT -p tcp --dport 4321 -j ACCEPT", чтобы jabber сервер тоже по WAN был доступен.
    С мобилки заходит, все Ок. Т.е. основное, что надо сделать, это запускать dropbear с ключем -a, и открыть порт.

    Проблемой осталась отвалившаяся защита ssh от брутфорс атак. С мобилки сначала по ssh зашел, потом добавил в pre-boot "insmod ipt_recent" и в post-firewall "iptables -t nat -I PREROUTING -i ! br0 -p tcp -m state --state NEW --dport 22 -m recent --set --name SSH_ATTACKER --rsource
    iptables -I INPUT -i ! br0 -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 600 --hitcount 3 --name SSH_ATTACKER --rsource -j DROP". После этого с мобилки по ssh заходить перестал. Правила эти убрал, но все-равно с мобилки по ssh не заходит. Возможно виноват мобильный инет. Но это уже тема другого топика.

    Осталось завтра на работе настроить и запустить MyEnTunnel для создания постоянного туннеля, и гулять
    Reply With Quote Reply With Quote
  12. 19-01-2012, 17:41 #222
    rockbomber
    rockbomber is offline Junior Member
    Join Date
    Mar 2008
    Posts
    11

    ssh

    Прошивка 1.9.2.7-rtn-r3696M.
    Если в System Setup -> Services -> Enable SSH access: установлен в No,
    в Internet Firewall -> Enable Brute Force Protection for SSH Server: установлен в Yes,
    а dropbear при этом запускается из post-boot, то нужно ли дополнительно включать защиту, как описано тут http://wl500g.info/showpost.php?p=55173&postcount=50 ?
    Reply With Quote Reply With Quote
  13. 20-01-2012, 06:03 #223
    rockbomber
    rockbomber is offline Junior Member
    Join Date
    Mar 2008
    Posts
    11
    В общем, да. Косяк ещё нашел. Правила для открытия портов вписывать надо не в post-boot, а в post-firewall. Благо, нашел способ, как это поправить с работы.
    С мобилки теперь в корпоративный jabber заходит.
    Теперь осталось внутреннюю телефонию перенаправлять на sip или skype (придется познать asterisk) и можно вообще дома сидеть
    Хотя коллеги подсказывают, что не плохо бы еще хакнуть систему управления турникетами на проходной, чтобы регистрироваться, как будто через них проходил)

    Ну и остались непонятки с защитой ssh от брутфорса, т.к. я в iptables вообще не разбираюсь.
    Reply With Quote Reply With Quote
  14. 20-01-2012, 12:38 #224
    don-pedro
    don-pedro is offline Senior Member
    Join Date
    Mar 2011
    Location
    Moscow
    Posts
    248
    Quote Originally Posted by rockbomber View Post
    Ну и остались непонятки с защитой ssh от брутфорса, т.к. я в iptables вообще не разбираюсь.
    Либо оставить галку в вебинтерфейсе и успокоиться, либо почитать про iptables (например, http://www.opennet.ru/docs/RUS/iptables/ ) и сделать http://wl500g.info/showpost.php?p=55173&postcount=50
    Reply With Quote Reply With Quote
  15. 20-01-2012, 17:01 #225
    rockbomber
    rockbomber is offline Junior Member
    Join Date
    Mar 2008
    Posts
    11
    Quote Originally Posted by don-pedro View Post
    Либо оставить галку в вебинтерфейсе и успокоиться, либо почитать про iptables (например, http://www.opennet.ru/docs/RUS/iptables/ ) и сделать http://wl500g.info/showpost.php?p=55173&postcount=50
    Спасибо! Про iptables обязательно почитаю. Пока оставлю только галку в web интерфейсе.

    Так же пробросил и порт для RDP. Но он работает как-то некорректно, просит залогиниться, а после входа появляется черный экран, который висит некоторое время, и соединение закрывается с ошибкой.

    Через поиск нашел аналогичную проблему у людей, которые использовали сервер FreeSSH, после смены которого на OpenSSH, у них все работало.
    Reply With Quote Reply With Quote
Page 15 of 17 FirstFirst ... 51314151617 LastLast
« Previous Thread | Next Thread »

Similar Threads

  1. Тестирование скорости чтения/записи USB-HDD.
    By ABATAPA in forum Russian Discussion - РУССКИЙ (RU)
    Replies: 87
    Last Post: 20-06-2013, 13:11

Tags for this Thread

Posting Permissions

  • You may not post new threads
  • You may not post replies
  • You may not post attachments
  • You may not edit your posts
  •  

Forum Rules