Re: ssh-tunnel och brandväggsregler
Thomas Nyman <thomas@teg.pp.se> writes:
> kommandoraden är ssh -i identititet -L 8080:webserver.com:40000
> user@webserver.com
Ser ju okej ut.
> Jag har ingen tcpdump att skicka just nu, men jag har kontrollerat det
> hela och tunneln är etablerad. Om jag t.ex befinner mig på en plats
> som använder masquerading där alla lokala maskiner har ip inom
> intervallet 192.168.10.11-192.168.10.15 och jag läger till dessa ip i
> min hosts fil samt i mitt brandväggs skript så fungerar tunneln från
> externt håll. Av detta kan jag dra slutsatsen att tunneln är etablerad
> och fungerar som den skall, dvs paket från localhost tunnlas till
> webservern.
Va? Var står webbservern i det här fallet?
Hur gör du förresten för att ansluta? Använder du telnet eller en
webbläsare eller vad? Kan du visa kommandoraden/URLen?
Sen kan du gärna beskriva "fungerar inte" lite tydligare - hänger den
och ger upp efter ett tag eller gör den något annat?
> Jag tänker mig dock att man kanske kan lösa frågan genom att ange
> macadress istället för ipadress i brandväggsskriptet, men jag vet inte
> riktigt hur man anger macadresser..men det kanske du vet? Således
> skulle man ha en regel som tillåter t.ex all trafik från en viss given
> macadress...
Det går nog inte, det vill säga filtrera på MAC går, men inte i ditt
fall (sök på mac i man iptables). (För webbservern kördes väl på samma
burk som ändpunkten terminerade i?)
> fast ännu bättre vore om jag kunde ordna så att när jag
> etablerar en tunnel anges sourceip som det ipnummer jag skulle ha haft
> om jag satt bakom brandväggen men vad jag kan förstå är det en teknisk
> omöjlighet då alla responser hamnar fel..dvs inte når min maskin.
? Anslutningen kommer från någon adress hos den dator som
ssh-anslutningen termineras i.
> Det där med att obfuskera...det är inte så mycket frågan om det som
> att ha ett intranet som är åtkomligt via internet men endast genom ssh
> public-key förbindelse. Finns det lika säkra metoder så är jag inte
> emot att använda dom bara jag vet hur.
Obfuskering syftar snarare på de IP-adresser och namn du använder,
eftersom jag tvivlar på att du verkligen har adresserna 1.2.3.4 (eller
domänen webserver.com). Det bygger ju på att du har förmåga att avgöra
vad som är viktig information och inte, vilket ofta är samma förmåga
som behövs för att kunna lösa problemet utan hjälp från början.
/Pontus
--
Pontus Freyhult, see <URL:http://soua.net/> for more information.
Reply to: