Re: Pasarela SSH
El Sun, 15 de Feb de 2015, a las 01:25:08AM -0300, Jorge A. Secreto dijo:
> Justamente, si el servidor 1 hace un túnel desde, por ejemplo, su puerto
> 1022 al puerto ssh del servidor 2, lo único que cambia para el usuario 2 es
> el puerto al que se conecta ¿eso no te sirve?
Sí, es una mejor solución que la segunda que he propuesto: sólo había
pensado en establecer el túnel desde el cliente previamente, y no en tener
establecido un túnel permanente desde el servidor, lo cual implicaba
tener que hacer dos conexiones. Tal y como lo propones, el cliente sólo
tendría que hacer una (aunque a distinto puerto).
El caso es que lo que realmente me gustaría es ver si se puede resolver
el primer planteamiento. La realidad es que ambos ordenadores tienen
salida directa a internet con ip propia, de manera que se puede acceder
a ellos directamente. Uno, sin embargo, presenta problemas en su
conexión por motivos que no vienen al caso, y a veces se queda sin este
acceso directo. Sin embargo, ambos tienen una forma de acceso llamémoslo
interno, y ese acceso sigue funcionando. Por tanto, aunque el acceso
externo al Servidor2 está caído, se puede acceder a él a través del
Servidor1.
En el modo normal de funcionamiento el dominio del Servidor2 lo gestiona
él mismo y el Servidor1 hace de servidor esclavo. Ahora bien, cuando se
produce una caída de Servidor2, el Servidor1 la detecta y cambia su rol
y se pone a trabajar como servidor maestro de dicho dominio, haciendo
además que el dominio resuelva a su ip y no a la de Servidor2. De esa
forma todas las conexiones que originariamente iban al Servidor2 acaban
en el Servidor1. Para que esto funcione aceptablemente el TTL de los
registros es pequeño (5 minutos). En estas condiciones:
$ ssh usuario2@servidor2.com
conecta directamente con Servidor2, pero cuando la conexión está caída
ese mismo comando acaba en Servidor1. La idea es que pueda encuazarlo
internamente hacia Servidor2. El problema es que usuario2 no tiene (ni
tiene por qué tener) cuenta en Servidor1. Si se pudieran mapear
usuarios en SSH, podría hacer que cuando el dominio es "servidor2.com"
todos los usuarios se mapearan a uno en particular creado ex-profeso y
que esté fuera el que conectara con el servidor2 con un ForceCommand.
Pero esto que digo no veo que se pueda hacer.
Camaleón hablamente me respondió también, pero lo que he podido leer en
todos los documentos propone algo parecido a mi segunda solución sólo
que en vez de usando ForceCommand en el servidor, usando ProxyCommand en
el cliente.
Un saludo.
--
Flérida para mí dulce y sabrosa,
más que la fruta de cercado ajeno.
--- Garcilaso de la Vega ---
Reply to: