Przekazywanie X11 przez SSH, jeśli konfiguracja serwera na to nie pozwala

Rozważmy sytuację, w której loguję się przez SSH z komputera A na komputer B, mam sesję X na komputerze A i chcę uruchomić program X na B.

ssh -X Bsprawia, że działa to przejrzyście. Ale co, jeśli brakuje konfiguracji serwera X11Forwarding yes, nie mam uprawnień roota na serwerze, a administrator serwera jest obojętny?

Oczywiście możliwe jest przekazanie połączenia X11, ponieważ mogę przesyłać cokolwiek chcę przez kanał SSH. W rzeczywistości, jeśli lokalny serwer X zezwala na połączenia TCP, jest to tak proste, jak ssh -R 6010:localhost:6000(do dostosowania do wyświetlanych liczb). Co z typowym przypadkiem, w którym lokalny serwer X zezwala tylko na połączenia gniazd? Jak mogę wygodnie i bezpiecznie przekazywać X przy minimalnych wymaganiach instalacyjnych (szczególnie na B)?

ssh xorg xforwarding

— Gilles „SO- przestań być zły”
źródło

Odpowiedzi:

Odpowiedź @Demi jest dobra, ale myślę, że wypełnienie jej byłoby świetną pomocą.

local - lokalna maszyna obsługująca Xserver.
remote - zdalna maszyna obsługująca aplikację, która napędza dane przesyłane do Xserver

Zdalne /etc/ssh/sshd_config:

X11Forwarding no
X11DisplayOffset 10
X11UseLocalhost yes

Pilot ~/.Xauthorityjest pusty lub nie istnieje

Lokalnie:

Xephyr -ac -screen 1280x800 -br -reset   :2 &
DISPLAY=:2 ssh  -fR 6010:/tmp/.X11-unix/X2  user@remote "DISPLAY=:10 xeyes"

W teście wersja lokalna działała na Ubuntu 18.05, zdalna działała na Debianie Jesse.

— Craig Hicks
źródło

Czy protokół X11 mówi inaczej podczas rozmowy z portem TCP podczas rozmowy z gniazdem?

Być może możesz połączyć własne sugerowane użycie ssh -R 6010:localhost:6000do przeniesienia danych X11 przez przekierowanie portów, a następnie zmostkować lokalny gab między portem tcp a odbiornikiem gniazda X11 za pomocą nc, takiego jak:

nc -l -p 6000 > /tmp/.X11-unix/X0

— Caleb
źródło

Tak, to jest pomysł. Miałem jednak nadzieję na odpowiedź: „włóż to .ssh/configpo stronie klienta i po stronie .profileserwera, a następnie po prostu uruchom ssh B”.

— Gilles „SO- przestań być zły”

Istnieje prosta odpowiedź „włóż to do swojej konfiguracji”, problem polega na tym, że wykluczasz to w swoich kwalifikacjach do pytania, ponieważ potrzebna opcja znajduje się po stronie sshd_config na stronie B. Próbujesz obejść blok wstawiony w miejsce utrudniające przypadkowe otwarcie problemu dotyczącego bezpieczeństwa.

— Caleb

Mam na celu (z mojego doświadczenia bardzo częstego) przypadek, w którym administrator nie dba o to i po prostu zostawił domyślne ustawienia. Przekazywanie X11 nie jest zabronione przez zasady, jest po prostu niedogodnością z powodu obojętności sysadmin. W każdym razie przekazywanie X11 pozwala serwerowi zaatakować klienta, więc banowanie go po stronie serwera nie ma większego sensu.

— Gilles „SO- przestań być zły”

@Gilles Zgadzam się, że domyślnie tak naprawdę nie chroni przed niczym przydatnym. Czy więc powinniśmy lobbować, aby zmienić domyślną wersję w górę?

— Caleb

Dla mnie /tmp/.X11-unix/X0jest to gniazdo domeny unix, a nie FIFO, więc każda próba przekierowania kończy się ENXIO: No such device.

— Samveen

Rozwiń dodatkowy serwer X za pomocą Xephyr. Ma to na celu zapewnienie bezpieczeństwa - zapobiega to atakowi zdalnego systemu na twój.
Użyj SSH, aby przekazać zdalne gniazdo do gniazda Xephyr. SSH obsługuje również przekazywanie gniazd uniksowych.
Ustaw poprawnie zmienne środowiskowe na zdalnym serwerze.

— Demi
źródło