Jak ustawić ssh, aby za każdym razem próbował nie tylko portu 22, ale również portu dodatkowego?

W ramach moich starań, aby zmniejszyć hałas w logach i nieznacznie zmniejszyć wykrywalność (i oprócz fail2ban, umożliwiając tylko uwierzytelnianie za pomocą klucza publicznego itp.) Rutynowo zmieniam porty sshd na serwerach, które skonfigurowałem na inny port, powiedzmy 5492. Obecnie Dodaję -p 5492 do mojego polecenia ssh lub dodaję port dla każdego określonego serwera do mojego ssh_config.

Czy istnieje sposób skonfigurowania ssh, aby próbował połączyć się zarówno z portem 22, jak i 5492, jeśli port 22 nie działa?

ssh command-line

— Riley
źródło

Wolę zamiast bezpieczeństwa poprzez zaciemnienie, konfigurację VPN i brak otwartych portów ssh do Internetu w ogóle.

— Rui F Ribeiro

@RuiFRibeiro Zgadzam się, że to nie jest bardziej bezpieczne. Jednak zmniejsza hałas w plikach dziennika. Można również użyć przełączania portów, aby zmniejszyć liczbę prób logowania, co zwiększa bezpieczeństwo.

— Ned64

@RuiFRibeiro Czy serwer VPN jest jednak bezpieczniejszy niż serwer SSH?

— Riley

Wszystko zależy od implementacji. W mojej poprzedniej pracy zdefiniowałem 2 wpisy VPN dla redundancji i żadnej sshobecności na zewnątrz.

— Rui F Ribeiro

Bezpieczeństwo przez zaciemnienie jest dobrą DODATKOWĄ warstwą nad dobrą konfiguracją, szczególnie gdy dotyczy oportunistycznych napastników.

— rackandboneman

Odpowiedzi:

Możesz owinąć skrypt powłoki, sshale sshsam tego nie zrobi.

Jednym ze sposobów użycia funkcji bash jest (włożenie ~/.bashrc):

function ssh() { command ssh -p 22 "$@" || command ssh -p 5492 "$@"; }

Nawiasem mówiąc, zaleca się używanie rootportów zarezerwowanych dla usług systemowych, takich jak sshw celu uniknięcia korzystania przez użytkowników z procesu, który nasłuchuje, powiedzmy, na porcie 5492. W przeciwnym razie mogą grać człowieka w środku i przechwytywać dane logowania. Więc użyj portu <1024.

— Ned64
źródło

To świetne rozwiązanie. Również świetna uwaga na temat portów!

— Riley

Zauważ, że drugie połączenie zostanie nawiązane, nawet jeśli pierwsze powiedzie się, jeśli polecenie wykonane przez sshzwraca wartość niezerową. Byłby to trywialny przykład ssh user@server false.

— Kusalananda

@Kusalananda Dzięki, napisałem commandteraz. Po prostu chciałem uniknąć rekurencji, jak dobrze zgadłeś.

— Ned64

Problem, o którym wspomina @Kusalananda, można (przeważnie) uniknąć, testując konkretny status wyjścia ssh- jeśli wystąpi błąd ssh (w przeciwieństwie do niepowodzenia polecenia zdalnego), zakończy działanie ze statusem 255. Zatem command ssh -p 22 "$@"; if [ "$?" -eq 255 ]; then command ssh -p 5492 "$@"; fipowinien działać.

— Gordon Davisson

sshsama może to zrobić poprzez Matchudokumentowane, ssh_config(5)chociaż dokumentacja jest nieco rzadka w przykładach. Ta forma może być odpowiednia, jeśli ktoś chce zepchnąć złożoność do konfiguracji SSH, choć jest to ograniczone przez ograniczenia ssh_config(5)składni i może wymagać nieco manipulacji w celu uzyskania pożądanego rezultatu. W szczególności nie można ustawić niestandardowego portu lub można go ustawić nieprawidłowo z poprzedniej Matchpróby. Dlatego poniżej jest ustawiany dwukrotnie podczas testowania lub raz dla wartości domyślnej i nie jest ustawiany podczas ustanawiania kanonicznych wartości domyślnych.

# here we set the defaults for the host (no port!)
Match !canonical host testhost
  CanonicalizeHostname yes
  Hostname 192.0.2.42
  IdentityFile ~/.ssh/id_blahblah
  ...
# port available?
Match canonical host 192.0.2.42 exec "is-ssh-up %h 2222"
  Port 2222
# or the default port
Match canonical host 192.0.2.42
  Port 22

is-ssh-up sprawdza tylko, czy coś odpowiada na danym porcie i może wyglądać

#!/usr/bin/env expect
package require Tcl 8.5
if {[llength $argv] < 2} {
   puts stderr "Usage: is-ssh-up host port"
   exit 1
}
puts stderr "is-ssh-up: DEBUG trying $argv"
set socket [socket -async [lindex $argv 0] [lindex $argv 1]]
chan event $socket readable [list exit 0]
after 3000 [list exit 1]
vwait godot

— gałązka
źródło

if-then-else w .ssh / config? Nie uwierzyłbym w to !!

— Archemar,

Możesz użyć funkcji wieloznacznej ~.ssh/config, umieszczając ten wpis na liście:

Host *
Port 5492

Ale samo to nie spadnie do 22.

Jeśli umieścisz go na końcu, nadal możesz go zastąpić dla tych hostów, w których potrzebujesz 22, ustawiając inną wartość powyżej niego. (I zawsze możesz to zmienić w wierszu poleceń).

— Paŭlo Ebermann
źródło