Re: Proxytunnel (-e) et OpenSSH server
On 10/10/10 09:25, David BERCOT wrote:
> Le Fri, 8 Oct 2010 15:44:59 +0200,
> Yves Rutschle <debian.anti-spam@rutschle.net> a écrit :
>> Avec un sslh non modifié, et stunnel3, je fais:
>> stunnel -f -p moncert.pem -d thelonious:443 -l /usr/local/sbin/sslh
>> -- sslh -i -l localhost:80 -s localhost:22
>> et ça marche.
>>
>> Pour sslh: -i l'appelle en mode inetd, -l redirige le "SSL"
>> (en fait du HTTP normal) vers Apache:80, et -s redirige le
>> SSH vers sshd:22. Ça marche parceque sslh ne se base que sur
>> le fait que le client parle en moins de 2s pour rediriger
>> vers ce qui est spécifié avec -l, et HTTP et SSL on ça en
>> commun que le client parle en premier.
>>
>> Voilà voilà. Les outils permettent bien de le faire.
>>
>> Bonne chance,
>
> Je reviens à la charge car ça ne correspond pas "tout à fait" à ma
> config ;-)
> En effet, le test que tu as fait concerne du HTTP et pas du HTTPS vers
> Apache. Or, mon souhait est de faire du "VRAI" HTTPS.
> Je m'explique... Je voudrais recevoir, sur le port 443, soit du SSH
> encapsulé dans du SSL, soit du HTTPS.
> C'est donc STunnel qui reçoit la requête. Là, il retire la couche SSL
> (c'est son boulot) et transmet le nouveau flux vers SSLH. S'il s'agit,
> à l'origine, d'un flux SSH encapsulé, ça marche. En revanche, s'il
> s'agit de HTTPS, ça ne marche plus car il transfert à Apache du HTTP
> car il a enlevé la couche SSL... Et là, dans mon navigateur, j'ai une
> erreur du genre :
> Your browser sent a request that this server could not understand.
> Reason: You're speaking plain HTTP to an SSL-enabled server port.
> Instead use the HTTPS scheme to access this URL, please.
>
> Bon, tout ça est très logique mais je ne vois pas comment gérer, sur
> mon serveur et sur le même port, du SSH encapsulé dans du SSL et du
> HTTPS.
> En effet, il faudrait que le flux ne soit décapsulé que s'il s'agit de
> SSH, sauf que là, il faudrait que le serveur soit magicien ;-)
>
> Bref, je n'ai pas de solution :-(
>
> David.
>
Ton site en https, mets le en http sur un port quelconque en
n'autorisant que les connexions depuis localhost. stunnel s'occupe alors
de la partie SSL, et apache n'a plus à s'en occuper.
Reply to: