Как SSH к серверу, который я не могу напрямую связаться?

контекст

Я использую Ubuntu Desktop в качестве основного компьютера, который я назову D. Я хочу подключиться к серверу S через ssh, но брандмауэр блокирует меня.

У меня есть доступ к серверу S по очень громоздкому пути с использованием виртуальной машины Windows и PuTTY . Это делает работу с этим сервером чрезвычайно раздражающей: совершенно другая среда, копирование / вставка не работает, я не могу правильно использовать свой рабочий стол, когда он подключен к нему (Alt-Tab нарушается виртуальной машиной) и т. Д.

Я проверил, что я могу ssh с сервера S на мой настольный компьютер D (в противоположность тому, что мне нужно).

Могу ли я каким-либо образом инициировать «переадресацию портов» или подобное с сервера, чтобы я мог ssh на сервер с моего рабочего стола?

ssh firewall port-forwarding dangonfast
источник

Хозяева прыжков ... должен любить их !!!

RonJohn

Возможный дубликат туннельного SSH из A-> B-> C

muru

@muru это другой сценарий, но, конечно, связанный (в конце концов, это туннелирование!). В этом случае я хочу фальсифицировать D->S, злоупотребляяS->D

dangonfast

Ответы:

Вы можете использовать следующую команду для настройки SSH-туннеля от удаленного сервера до локального компьютера:

$ ssh -f -N -R 1234:localhost:22 user@your_machine_ip

Когда туннель настроен, вы можете просто подключиться к удаленному серверу с помощью следующей команды:

$ ssh -p 1234 user@localhost

Обратите внимание, что вам нужно настроить ssh-ключи для автоматического входа (без запроса пароля). Если вы хотите создать SSH-туннель в интерактивном режиме, вы можете удалить опции -f -N. Для получения дополнительной информации man ssh.

Халед
источник

Как проходит этот туннель через Windows VM? (Там, где я работаю, есть несколько уровней межсетевых экранов, и открыты только несколько портов.)

RonJohn

@RonJohn Я полагаю, что это использует тот факт, что (для OP) ssh-синг с сервера на рабочий стол работает, поэтому это устанавливает туннель от сервера (порт 22) непосредственно к настольному компьютеру (порт 1234), который может быть использован подключиться к ssh на сервере (который использует порт 22). Windows VM используется только для настройки туннеля. (поправьте меня, если я ошибаюсь)

pizzapants184

@dangonfast В дополнение к ответу вы можете найти следующий документ значения: spencerstirling.com/computergeek/sshtunnel.html

Pryftan

@RonJohn Документ, на который я только что ссылался, мог бы помочь ответить и на этот вопрос, по крайней мере, в том, что касается нескольких слоев брандмауэров и т. Д. (Если память мне не изменяет - я очень долго читал ее… Я просто вспомнил наличие ссылки из лет назад).

Прифтан

@ pizzapants184 действительно, это была моя отправная точка: ssh из S -> D, поэтому я хочу злоупотребить этим, чтобы эффективно выполнять D -> S, даже если это не работает напрямую. Почему сеть настроена так, это то, что ускользает от меня. Это может быть преднамеренным или неправильной конфигурацией, но пока это работает для меня ...

dangonfast

Если вы работаете с более новой версией OpenSSH (7.3+), вы можете использовать тот, ProxyJumpкоторый объединяет все магическим образом:

ssh -J windows_machine remote_server

Который по вашему ~/.ssh/configвыглядит:

Host remote_server
        HostName remote_server
        ProxyJump windows_machine
        User myname

ProxyJumpподдерживает полный синтаксис SSH, так что если вы jimна windows_serverи использует порт 2222для SSH. remote_serverна IP 192.168.0.110с того, что windows_serverвы можете написать:

Host remote_server
        HostName 192.168.0.110
        ProxyJump jim@windows_machine:2222
        User myname

И все же просто беги, ssh remote_serverчтобы добраться туда.

Если вы используете более старую версию SSH, используйте ProxyCommand - это позволяет вам указать SSH сначала выполнить команду для установки прокси-соединения, прежде чем выполнять настоящую команду SSH.

ssh -o ProxyCommand='ssh -W %h:%p windows_machine' remote_server

При этом используется опция SSH -W , которая является сокращением для более загадочного синтаксиса netcat .

Обратите внимание, что, поскольку при запуске ssh remote_serverвы работаете, windows_machineвам нужно убедиться, что вы используете IP-адрес remove_server из поля перехода, а не IP-адрес вашего компьютера - они вполне могут быть одинаковыми.

Затем вы можете добавить эту директиву в ваш ~/.ssh/configфайл:

Host remote_server
  HostName remote_server
  User myname
  ProxyCommand ssh -W %h:%p windows_machine

Это означает , что если remote_server есть другая машина , как видно из , windows_machineто вы можете положить , что в конфигурации и до сих пор просто использовать ssh remote_server.

Борис Паук
источник

Это гораздо лучший ответ.

Роберт Ридл

Хотя это полезно, это не отвечает на задаваемый вопрос. OP заявляет, что они не могут SSH из D-> S (что они хотят), но они могут SSH из S-> D. Между ними нет прокси-серверов ssh (вместо этого есть виртуальная машина Windows, вероятно доступ к которой осуществляется через RDP).

Мбриг

@mbrig действительно. Я не пробовал это решение, но я был бы удивлен, если бы оно

работало

Но вы говорите, что можете добраться до машины с Windows - из этого я понял, что она может выступать в качестве переключателя между вами и другой машиной.

Борис Паук

Я могу войти в систему Windows с помощью специального инструмента (VMWare Horizon). Я никогда не говорил, что могу с ним сшиться. Я даже проверил это, прежде чем опубликовать этот вопрос, установив ssh-сервер Putty companion (я забыл имя), но мои тесты не прошли. Я полагаю, что ssh тоже защищен сетью Windows.

dangonfast

Вместо того, чтобы пытаться обойти вещи и создать запутанный путь, разве вы не можете просто попросить SSH с вашего рабочего стола на сервер, который будет разрешен? Если вам это нужно и вам нужен доступ к серверу, я не понимаю, почему вы отклонили запрос.

Солнечная вспышка
источник

Не хочешь объяснить отрицательный голос? Вопрос "Как подключиться к серверу ssh, к которому я не могу напрямую связаться?" поэтому мой ответ, чтобы установить правило брандмауэра, чтобы оно действовало. Это также правильный способ обойти это в соответствии с хорошей практикой безопасности.

Солнечная вспышка

У меня первая неделя трехмесячного контракта с крупным корпоративным клиентом. Мне не дали ноутбук (я использую мой), и только стол. Я получил десятки учетных данных, чтобы использовать различные сервисы, и мне едва удается совмещать все это. То, что я хочу сделать, не является жестким требованием для выполнения моей работы: я могу работать в ВМ, и это то, что мой босс скажет мне, если я начну задавать забавные вопросы. Или он укажет мне на справочную службу, которая пойдет по дороге в течение следующих нескольких недель / месяцев.

dangonfast

Для меня работа на виртуальной машине легко будет означать 50% -ную потерю производительности, поэтому я хочу как можно больше ее избежать. Тем не менее, я люблю этот концерт!

dangonfast

Я могу понять, что. По моему опыту, «крупные корпоративные клиенты», как правило, расстраиваются, когда подрядчики обходят межсетевые экраны и политики для выполнения своей работы, даже если это делается для альтруистических целей. Тот факт, что вы можете использовать SSH с сервера на свой рабочий стол, говорит мне, что вы либо не в состоянии сделать обратное, - это упущение или что-то, что было введено для определенной цели.

Solarflare

Это единственное реальное решение, если вы хотите избежать риска быть уволенным за обход политик ... По крайней мере, поговорите с ответственными лицами, прежде чем использовать решение Khaleds, чтобы они знали, что вы делаете.

Свен