Przekaż ruch SSH przez środkową maszynę

Tunelowanie SSH jest dla mnie bardzo mylące. Zastanawiam się, czy mogę to zrobić w systemie Linux.

Mam 3 maszyny ..

A. My local machine at home.
B. Machine at work that I can SSH into (middle man).
C. My desktop at work that I can only SSH into from machine B.

Więc mogę SSH od A -> B i od B -> C, ale nie od A -> C.

Czy istnieje sposób skonfigurowania tunelu SSH od A do B, więc kiedy uruchamiam inne polecenia SSH, działają one tylko z mojej lokalnej maszyny A? Zasadniczo próbuję sklonować repozytorium git z pracy do domu (i nie mogę zainstalować git na komputerze B).

Ponadto, po instalacji .. Jak mogę to również rozbroić?

Umieść to w swoim .ssh/configpliku na hościeA (szczegóły w man 5 ssh_config ):

# .ssh/config on hostA:
Host hostC
    ProxyCommand ssh hostB -W %h:%p

Teraz następujące polecenie będzie automatycznie tunelowane przez hostB

hostA:~$ ssh hostC

Możesz chcieć dodać opcje takie jak -oCiphers=arcfouri -oClearAllForwardings=yesprzyspieszyć, ponieważ owijanie sshwewnątrz sshjest obliczeniowo droższe, a dodatkowy wysiłek i opakowanie nie musi być tak bezpieczne, gdy tuneluje już zaszyfrowany ruch.

Jeśli używasz OpenSSH wcześniejszej niż 5.3, -Wopcja nie jest dostępna. W takim przypadku możesz zaimplementować powyższe za pomocą netcat ( nc):

ProxyCommand ssh hostB nc %h %p  # or netcat or whatever you have on hostB

Edycja: To niewłaściwe podejście. Zamiast tego zobacz odpowiedź ephemienta . Ta odpowiedź będzie działać, ale jest potencjalnie mniej bezpieczna i zdecydowanie mniej niesamowita.

Wygląda na to, że potrzebujesz takiego rozwiązania:

ssh -L localhost:22:machinec:22 machineb

To zapewni ci powłokę machineb. Zostaw to w spokoju; zminimalizuj okno terminala.

Teraz, za każdym razem, gdy nawiążesz połączenie ssh localhost, zostaniesz połączony machinecprzez machineb. Kiedy skończysz z tunelem, po prostu zamknij terminal, w którym uruchomiłeś powyższe polecenie.

Pamiętaj, że do uruchomienia polecenia potrzebne są uprawnienia administratora.

Wygląda na to, że potrzebujesz aliasu powłoki na A, który powoduje, że ssh występuje na C

1. Zakładam, że na A możesz wpisać ssh me @ b „ssh me @ c nazwa hosta” i odzyskać „C”
2. Utwórz alias sshc, który rozwija sshc foo w ssh me @ b "ssh me @ c foo"
3. Dokładną składnię tworzenia aliasu znajdziesz na stronie superuser.com

Do interaktywnej powłoki możesz użyć tego prostego polecenia:

ssh -J <user>@<hostB> <user>@<hostC>

Opcje -J służą do skoku .

Jeśli Twój pracodawca zapewnia VPN, zalecam korzystanie z niego zamiast tego.

W ten sposób nie będziesz musiał specjalnie konfigurować żadnych aplikacji (nawet ssh) i zobaczysz dowolną maszynę za zaporą. Ponadto cały Twój ruch będzie szyfrowany przez oprogramowanie VPN, które zwiększy bezpieczeństwo każdego przypadkowo lub celowo niezaszyfrowanego ruchu.

YASS Jeszcze jedno proste rozwiązanie

ssh -f -L 2222:HostC_IP_or_Name:22 userOnB@hostB sleep 10 &&
    ssh -o HostKeyAlias=HostC -p 2222 userOnC@localhost

• Pierwsze polecenie otwórz połączenie ssh z HostB i powiedz Hostowi, aby przekazywał połączenia z localhost: 2222 do HostC: 22 .
• -fparametr powiedzieć SSH, aby przejść do tła po nawiązaniu połączenia
• Drugie polecenie otwiera po prostu połączenie klienta z hostem lokalnym: 2222
• Opcja HostKeyAlias nie jest wymagana, ale może pomóc w zapobieganiu połączeniu z niewłaściwym hostem
• Uwaga: polecenie sleep 10jest potrzebne do utrzymania połączenia, dopóki drugie polecenie ssh nie użyje przekierowanego portu. Następnie pierwszy ssh zostanie zamknięty, gdy drugi ssh opuści przekierowany port.

możesz teraz uruchamiać kolejne sesje ssh:

ssh -o HostKeyAlias=HostC -p 2222 userOnC@localhost

Wariant:

ssh -f -L 2222:HostC_IP_or_Name:22 userOnB@hostB sleep 10 &&
    ssh -M -S ~/.ssh/ssh_HostC22userOnC.sock -o HostKeyAlias=HostC -p 2222 userOnC@localhost

kolejne sesje ssh można otworzyć, uruchamiając:

ssh -S ~/.ssh/ssh_HostC22userOnC.sock userOnC@localhost

Główną zaletą użycia parametrów -M i -S jest to, że tylko jedno połączenie jest otwarte z HostA do HostC, kolejna sesja nie zostanie ponownie uwierzytelniona i uruchomiona znacznie szybciej.

Przypadek specjalny, mieszane platformy Nix:

  hostA (linux) -> HostB (solaris) -> HostC (linux)

Jeśli potrzebujesz aplikacji X na hoście HostC, a przeskok pośredni jest na polu Solaris ... w tym przypadku znalazłem netcat (nc) potrzebny na ProxyCommand w następujący sposób:

hostA: ~ $ vi .ssh / config:

Host host C
    ProxyCommand ssh hostB nc% h% p # gdzie nc to netcat

Następnie działa automatyczne tunelowanie:

hostA: ~ $ ssh hostC