| Поддержание SSH-туннеля в активном состоянии при помощи AutoSSH |
[исправить] |
Иногда необходимо иметь возможность удалённо управлять какими-то системами,
которые находятся за firewall'ами,
которые Вы не контролируете. В таких случаях помогают ssh-тунели с использованием перенаправления
(forwarding) портов. Например, допустим имеется удалённая машина trick, которая
находится за маршрутизатором
в удалённой локальной сети, и вторая машина rose имеющая внешний ip-адрес. Для того, чтобы иметь
возможность с rose заходить на trick (либо использовать какой-то сервис на
trick), необходимо поднять
туннель с использованием перенаправления удаленных портов (remote port forwarding):
ssh -f -N username@rose -R 3722:127.0.0.1:22
Получаем такую картину: на rose в списке открытых портов появляется порт 3722,
который на самом деле
перенаправляет все пакеты на 22-й порт trick-системы. После этого можно
логиниться через ssh на trick из rose:
ssh username@127.0.0.0 -p 3722
А что делать, чтобы тунели были постоянно доступны? Ведь ssh-соединения бывают рвутся
и тогда опять необходимо с trick-системы инициировать тунель. А если trick
находится в 100 км от Вас?
А если их таких у Вас 20? :) Вот тут-то и помогает замечательная вещь -
autossh, утилитка занимающаяся тем,
что поддерживает поднятые ssh-туннели в рабочем состоянии. Перед её запуском необходимо установить
переменную AUTOSSH_PORT, указывающую номер порта, который будет использоваться
для heartbeat-пакетов
на предмет того - жив ли тунель.
Также, если туннели необходимо поднимать во время старта системы, советуют установить переменную
AUTOSSH_GATETIME=0. Переменная AUTOSSH_DEBUG позволит получить из логов
дополнительную информацию о ходе процесса.
export AUTOSSH_DEBUG=1
export AUTOSSH_GATETIME=0
export AUTOSSH_PORT=20037
autossh -f -N username@rose -R 3722:127.0.0.1:22
Без ключа -f программа не отправляется в фон, поэтому данный режим полезен,
чтобы разбираться с проблемами
при установке туннеля, если они возникают.
В приведенном выше примере кроме портов rose:3722 и trick:22 поднимается ещё 3 дополнительных
(так как установлена переменная AUTOSSH_PORT) - trick:20037, rose:20037, trick:20038, связанных
между собой в цепочку для прохождения heartbeat-пакета. Таким образом, что отправляя запрос
на trick:20037, пакет приходит на rose:20037, который в свою очередь
перенаправляет его дальше на trick:20038.
Получается своеобразный "бумеранг", позволяющий следить за туннелем.
|
| |
|
|
|
| Раздел: Корень / Безопасность / SSH |
| 1.1, Сергей (??), 14:19, 25/09/2009 [ответить]
| +/– |
Есть еще и другие варианты. На мой взгляд более безопасные и практичные...
В PuttY - Connection - SSH - Tunnels.
А чтобы консоль оставалась даже при обрыве связи на долгое время - Screen.
| | |
| |
| 2.2, ABATAPA (ok), 20:46, 25/09/2009 [^] [^^] [^^^] [ответить]
| +/– |
> Есть еще и другие варианты. На мой взгляд более безопасные и практичные...
> В PuttY - Connection - SSH - Tunnels.
Мда... А прочитанного Вы не поняли...
Какой PuTTY? Речь идет об "обратном" туннеле, например, из-за NAT. Если это сервер, на нем Linux, нет GUI, и нет PuTTY?
| | |
|
| 1.3, Жизнеслав (?), 09:34, 28/09/2009 [ответить]
| +/– |
 1. И где же вы раньше были :) со своей заметкой "про вашего мальчика", когда я забивал всё посекундно в cron, перед этим перерыв пол-инета, и не найдя никакой информации по автостарту ssh?
2. было бы полезно указывать приглашение командной строки:
trick# ssh...
3. Судя по:
autossh --help
/usr/lib/autossh/autossh: invalid option -- -
usage: autossh [-V] [-M monitor_port[:echo_port]] [-f] [SSH_OPTIONS]
-M specifies monitor port. Overrides the environment
variable AUTOSSH_PORT. 0 turns monitoring loop off.
Alternatively, a port for an echo service on the remote
machine may be specified. (Normally port 7.)
-f run in background (autossh handles this, and does not
pass it to ssh.)
-V print autossh version and exit.
Environment variables are:
AUTOSSH_GATETIME - how long must an ssh session be established
before we decide it really was established
(in seconds)
AUTOSSH_LOGFILE - file to log to (default is to use the syslog
facility)
AUTOSSH_LOGLEVEL - level of log verbosity
AUTOSSH_MAXLIFETIME - set the maximum time to live (seconds)
AUTOSSH_MAXSTART - max times to restart (default is no limit)
AUTOSSH_MESSAGE - message to append to echo string (max 64 bytes)
AUTOSSH_PATH - path to ssh if not default
AUTOSSH_PIDFILE - write pid to this file
AUTOSSH_POLL - how often to check the connection (seconds)
AUTOSSH_FIRST_POLL - time before first connection check (seconds)
AUTOSSH_PORT - port to use for monitor connection
AUTOSSH_DEBUG - turn logging to maximum verbosity and log to
stderr
порт контроля целостности соединения можно назначить и ключом -M...
4. СПАСИБО!
| | |
| 1.4, anon (?), 18:36, 29/09/2009 [ответить]
| +/– |
Ну вообще, можно и не открывать никаких портов, не всегда есть такая возможность. Просто без опции мониторинга запускать.
Из man'а:
Setting the port to 0 turns the monitoring function off, and autossh will only restart ssh upon ssh's exit.
| | |
| 1.5, Аноним (-), 16:38, 30/09/2009 [ответить]
| +/– | |
Ну ведь костыль же.
Я так чувствую, скоро мы увидим какую-нибудь хаутушку на тему "простой vpn безо всяких клиентов через ssh+pppd и контролем через autossh".
| | |
| 1.7, gluxoi (ok), 11:03, 17/03/2015 [ответить]
| +/– |
 Необходимо получить доступ до машины которая сидит за NAT.
ssh -f -N username@rose -R 3722:127.0.0.1:22
Данная команда у меня выполнятся, и я получаю доступ из вне. Но через какое-то время отваливаться.
Подскажите куда это все правильно прописать, чтобы и после перезагрузки автоматом работало.
export AUTOSSH_DEBUG=1
export AUTOSSH_GATETIME=0
export AUTOSSH_PORT=20037
autossh -f -N username@rose -R 3722:127.0.0.1:22
ОС FreeBSD 10.1
| | |
| 1.9, ShaHo (??), 14:26, 12/06/2018 [ответить]
| +/– |
А вот так можно добавить ещё и автологин, к примеру, для поднятия SOCKS5-прокси:
# sshpass -p "PaSsWoRd" autossh -M 1080 -2 -4 -C -l NL -p 22 -D 192.168.0.1:1080 11.22.33.44
| | |
|