Início / unix / Perguntas / 433923
Accepted
0xC0000022L
Asked: 2018-03-28 12:57:59 +0800 CST

Encaminhamento de porta SSH via jump host, arquivos ssh_config e APENAS "ssh targethost"

  • 772

NB: Os clientes OpenSSH que estou usando estão todos na versão 7.2 , portanto, não RemoteCommandestão disponíveis.

Suponha a seguinte configuração:

  1. máquina fooé um host de salto e fornece acesso ao host barpor meio de seulocalhost:10022
  2. barfica dentro de uma rede dentro da qual podemos acessar o host rdpe acessar sua porta RDP (3389). Na verdade, dou o IP de rdpdentro das minhas linhas de comando e configuração, mas presumo que seja legítimo usar seu nome, desde que a pesquisa de nome funcione. Por brevidade, estou usando rdpaqui.

O objetivo agora é obter acesso rdp:3389conectando-se barvia jump host fooe encaminhá-lo para localhost:33389a máquina local da qual estou chamando ssh bar.

[local:33389] --> {foo} --> {bar} --> [rdp:3389]

Interlúdio

Eu resolvi isso anteriormente com o PuTTY da seguinte maneira:

  1. crie uma conexão fooe configure um encaminhamento local -L 33389:localhost:33389, vinculando assim localhost:33389a máquina local localhost:33389a foo.
  2. use o seguinte comando remoto para transportar o encaminhamento de porta para a rede dentro da qual barfica passando ssh -L 33389:rdp:3389 -A bar.
  3. Host barestá configurado para se conectar fooe , assim, acessar o host de salto..ssh/configlocalhost:10022bar

A configuração do PuTTY funciona como um encanto, mas depende de um comando remoto para ser executado. Embora um alias de shell seja uma maneira de fazer isso, eu queria saber se há uma maneira de manter tudo dentro do ssh_config(5)usado pelo meu cliente, usando ProxyCommand?

Um equivalente aproximado da configuração do PuTTY acima é este:

ssh -L 33389:localhost:33389 foo ssh -t -L 33389:rdp:3389 -p 10022 localhost

ou, desde que Host baresteja configurado foopara passar localhost:10022por foo:

ssh -L 33389:localhost:33389 foo ssh -t -L 33389:rdp:3389 bar

E isso parece fazer o trabalho.

Mas é claro que isso é muito para digitar e seria mais fácil poder colocar tudo isso no arquivo de configuração e simplesmente digitar ssh barna máquina local.

Conforme RemoteCommand introduzido no OpenSSH 7.6, isso parece ser bastante trivial:

Host bar
    HostName foo
    RemoteCommand ssh -L 33389:rdp:3389 -A -p 10022 localhost
    LocalForward 33389 localhost:33389

... que deve ser aproximadamente traduzido para a sshinvocação mostrada acima. Mas, como mencionado anteriormente, estou usando uma versão mais antiga (empacotada) do OpenSSH sem suporte para a RemoteCommandestrofe.

Aqui está a tentativa que parece mais próxima do que eu quero alcançar.

Host bar
    HostName localhost
    Port 10022
    ProxyCommand ssh -L 33389:localhost:33389 -W %h:%p foo
    LocalForward 33389 rdp:3389

A ideia é que na máquina local eu simplesmente invocarei ssh bar. Na verdade, funciona porque acabo no prompt do shell de bar, mas o encaminhamento de porta não funciona. Enquanto sudo lsof -i|grep 3389na máquina local me dá:

ssh       15271        accden    6u  IPv6 7933201      0t0  TCP localhost:33389 (LISTEN)
ssh       15271        accden    7u  IPv4 7933202      0t0  TCP localhost:33389 (LISTEN)

No host de salto, não vejo nada ouvindo em nenhuma porta contendo arquivos 3389.

Como ProxyCommandestabelece a conexão com fooe estou dando um LocalForwardpara a conexão com bar, espero que funcione.

O que estou fazendo errado?

O objetivo é usar ssh barpara conectar bare ao mesmo tempo rdp:3389disponibilizar na máquina local como arquivos localhost:33389. Ajustar os ssh_config(5)arquivos na máquina local e foosão permitidos. Passar comandos remotos não é uma resposta válida, no entanto.

openssh ssh-tunneling

1 respostas

  1. Best Answer

    Primeiro, com o seu tipo de configuração, o que funcionaria, exigindo de qualquer maneira dois ssh:

    Host foo
    LocalForward 10022:bar:22

Host bar
    Hostname localhost
    Port 10022
    LocalForward 33389 rdp:3389

term1$ ssh foo # or use ssh -f -N -o ExitOnForwardFailure=yes foo for background task
term2$ ssh bar

    O que você realmente precisaria não seria RemoteCommand e sim ProxyJump, simplificando muito sua configuração, com objetivo alcançado apenas com:

    ssh -L 33389:rdp:3389 -J foo bar

    Ou a configuração equivalente (apenas):

    Host bar
    ProxyJump foo
    LocalForward 33389 rdp:3389

    Com zero porta intermediária necessária.

    Infelizmente, o ProxyJump está disponível apenas a partir do openssh 7.3

    Mas é facilmente substituído pelo combo ProxyCommand/-W que você estava usando antes.

    ssh -L 33389:rdp:3389 -o 'ProxyCommand=ssh foo -W %h:%p' bar

    ou como arquivo de configuração:

    Host bar
    ProxyCommand ssh -W %h:%p foo
    LocalForward 33389 rdp:3389

    Ainda existem dois ssh em execução: o oculto é aquele como ProxyCommandparâmetro ainda em execução no host local fazendo o link usando um par de pipes com o ssh principal, em vez de uma porta tcp extra. Tentar envolver o host intermediário na participação com o encaminhamento de porta é inseguro ou pode causar conflito (outros usuários de foo podem acessar o túnel ou usar a mesma porta) e sujeito a erros. As extremidades do túnel sempre devem ser mantidas no host do cliente, se possível, onde há controle total. Os túneis intermediários não devem existir ou apontar para o próximo ponto de entrada ssh (esse é o -Wuso aqui).

    • 13

relate perguntas