Port de tunnel sécurisé via l'hôte intermédiaire

Je cherche à acheminer un port pour VNC vers ma maison ici. Je dois sauter par-dessus un seul hôte pour ensuite sauter sur ma machine de travail réelle.

• sittinghere sera ma machine domestique locale
• hopper sera par le saut intermédiaire que je dois faire
• overthere sera la machine de travail à distance

Je peux le faire pour SSH dans ma machine de travail:

ssh -t hopper "ssh -t overthere"

Je voudrais utiliser la redirection de port pour transférer le port distant 5900 sur overtherele port local 5900 sittinghere. Cependant, je préférerais pouvoir le faire sans me lier ouvertement à un port, hoppercar n'importe qui sur cette machine pourrait se connecter à ma connexion VNC.

Existe-t-il un moyen pour moi de transmettre ce port à ma machine locale en toute sécurité sans que personne ne puisse y accéder hopper?

Utilisation de la capacité native de SSH pour transférer des ports. De sittinghereexécuter:

 ssh -v -N -L 5900:overthere:5900 user@hopper

Pointez votre client VNC vers localhost:5900et le trafic sera acheminé overthere:5900via la connexion SSH établie surhopper

J'ai fini par utiliser des ~/.ssh/confighacks SSH pour y arriver:

Host hopper
    User naftuli
    ForwardAgent yes

Host overthere
    User naftuli
    ForwardAgent yes
    ProxyCommand ssh -q hopper nc overthere 22

Ce que cela signifie, c'est que lorsque j'essaie de me connecter à ssh overtherepartir de sittinghere, il se connecte à hopperpuis connecte par proxy la connexion SSH au port 22 overthere(c'est-à-dire: SSH activé overthere).

Cela a des effets secondaires impressionnants:

ssh -L 5900:localhost:5900 overthere "x11vnc -display :0 -localhost"

Tout fonctionne à merveille et pour autant que je sache, le 5900 n'est pas ouvert hopper, mais uniquement transmis directement de overthereà sittinghere.

Vous pouvez transférer un port de sittingherevers overtherele port SSH de hopper. Ensuite, vous pouvez utiliser ce port pour accéder overtheredirectement à partir de sittinghere. Dans cette deuxième session SSH, vous pouvez transférer VNC ou tout autre port que vous aimez tout en hopperne voyant qu'une session SSH cryptée.

Première session SSH:

ssh -f -N -L 7022:overthere:22 hopper

Maintenant , dire au client SSH comment il peut atteindre overthereen ajoutant cette config ~/.ssh/configsursittinghere

Host overthere
    HostName hopper
    Port 7022
    HostKeyAlias overthere

Deuxième session SSH:

ssh -f -N -L 5900:localhost:5900 overthere

Ou tout simplement une session SSH interactive régulière sans le tunnel de port VNC:

ssh overthere

Si vous ne voulez pas déranger l'ajout de lignes, ~/.ssh/configvous pouvez toujours lui dire comment se connecter à overtherepartir de la ligne de commande:

ssh -p 7022 hopper

... mais sans le HostKeyAliasSSH ne vérifiera pas overtherecorrectement l'empreinte digitale de la clé.

Toutes les lignes de commande doivent être exécutées à partir de sittinghere.

Soit dit en passant, je pense que vous n'avez probablement pas besoin d'utiliser sshl' -toption de.

Connectez d'abord la trémie tout en créant un tunnel entre le travailleur et le PC domestique.

ssh -f ismail@hopper -L 2222:overthere:22 -N

puis faites ssh ro là-bas avec tunnel vnc

ssh -p 2222 -f ismail@localhost -L 5900:localhost:5900

Vous pouvez maintenant vous connecter avec vnc. Au fait, changez la configuration de vnc pour écouter localhost

Si vous utilisez le client VNC à vncviewerpartir de la ligne de commande, vous pouvez utiliser le -viacommutateur pour lui dire de passer par tunnel user@hostavant de se connecter au serveur VNC d'un autre hôte.

Exemple

$ vncviewer -via user@host localhost:0

Vous pouvez également utiliser vinagrepour vous connecter via un tunnel SSH comme cela via l'interface graphique. Pour ce faire, configurez votre connexion de la même manière via la boîte de dialogue de connexion dans vinagre:

Ce qui entraînera votre connexion à venir, tunnelée via l'hôte de tunnel SSH.

Les références

• Utiliser VNC? Chiffrez-le via SSH

La commande suivante devrait également fonctionner parfaitement

ssh -f -N -J hopper overthere -L 5900:localhost:5900

Il a été testé avec un paramètre supplémentaire pour connecter le serveur PostgreSQL sur un postgres-serverport personnalisé ( -pcommutateur) et également avec l'utilisation d'un nom d'utilisateur personnalisé.

ssh -f -N -J user1@jumphost -p 2222 user2@postgres-server -L 5432:localhost:5432

Comme vous pouvez le voir, cette solution est simple et ne nécessite aucun changement de configuration de ssh ni aucune étape intermédiaire.