[转载]ssh tunnelling

http://www.brandonhutchinson.com/ssh_tunnelling.html

ssh tunnelling

ssh tunnelling is an excellent way to tunnel insecure protocols through a secure communication channel. In this example, I'll tunnel POP3 traffic using ssh. Traditional POP3 traffic, including username and password information, travels clear-text across the network.

OpenSSH is used in the following examples.

To tunnel POP3 traffic using ssh: 1. Make sure an ssh client is installed on your machine and an ssh server is installed on the POP3 server. 2. Create a local ssh tunnel on your machine (port 1234 for this example) to the POP3 server's port 110. You will need to be the root user to bind to "privileged" ports (< 1024). # ssh -f -N -L 1234:localhost:110 user@POP3_server 3. Test the tunnel. $ telnet localhost 1234 You should see the POP3 server's banner information. 4. Configure your mail client to access your mail via POP3 using mail server localhost and port 1234.

"Reverse" ssh tunnel

It is possible to create a "reverse" ssh tunnel. The reverse tunnel will allow you to create an ssh tunnel from your work computer to your home computer, for example, and then login to your work machine from your home machine even if your work firewall does not permit ssh traffic initiated from your home machine! For this to work, an ssh server must be installed on your work and home computer, and ssh (TCP port 22) must be allowed outbound from your work computer to your home computer. $ ssh -R remote_port:localhost:22 your_home_computer ex. $ ssh -R 2048:localhost:22 home.computer.com At home, you would then run ssh -p 2048 localhost to log into your work computer via ssh. Here is a script I run every 5 minutes through the cron facility on my work system to make sure the reverse ssh tunnel to my home system is up and running. It is useful in case my_home_system is rebooted. 2006-11-15 update: #!/bin/sh # $REMOTE_HOST is the name of the remote system REMOTE_HOST=my.home.system # $REMOTE_PORT is the remote port number that will be used to tunnel # back to this system REMOTE_PORT=5000 # $COMMAND is the command used to create the reverse ssh tunnel COMMAND="ssh -N -R $REMOTE_PORT:localhost:22 $REMOTE_HOST" # Is the tunnel up? Perform two tests: # 1. Check for relevant process ($COMMAND) pgrep -f -x "$COMMAND" || $COMMAND # 2. Test tunnel by looking at "netstat" output on $REMOTE_HOST ssh $REMOTE_HOST netstat -an | egrep "tcp.*:$REMOTE_PORT.*LISTEN" \ > /dev/null 2>&1 if [ $? -ne 0 ] ; then pkill -f -x "$COMMAND" $COMMAND fi 2006-09-20 update using pgrep: #!/bin/sh # REMOTE_HOST is the name of the remote system REMOTE_HOST=my.home.system # $COMMAND is the command used to create the reverse ssh tunnel COMMAND="ssh -N -R 7437:localhost:22 $REMOTE_HOST" # Is the tunnel up? pgrep -f -x "$COMMAND" > /dev/null 2>&1 || $COMMAND Old script: #!/bin/sh # $COMMAND is the command used to create the reverse ssh tunnel COMMAND='ssh -N -R 31337:localhost:22 my_home_system' # Is the tunnel up? CHECK_TUNNEL=`ps -eo args | grep "$COMMAND" | grep -v grep` # If the tunnel is not up, create the tunnel if [ -z "$CHECK_TUNNEL" ] ; then $COMMAND fi Links: http://www.akadia.com/services/ssh_port_forwarding.html http://www.hackorama.com/pages/stunnell.shtml http://proxytunnel.sourceforge.net/ http://proxytunnel.sourceforge.net/papers/muppet-200204.html

Back to brandonhutchinson.com.

Last modified: 2006/10/23

http://xn.lupaworld.com/index.php/10/action_viewspace_itemid_33.html

ssh 使用新法

ssh 使用新法：公网(合法 ip)用户访问内网(私有 ip)服务器(http,ftp,sshd,cvs...),内网的朋友不妨一看。

内网的朋友苦于没有合法 ip,不能对外提供 internet 服务。解决方案很多，可以通过在网关做端口映射，或其他的辅助软件等。 本文介绍两种比较简单实用的方法，利用 ssh 这个强大的工具。 (以下方法不分平台，都适用) 案例一、 内网主机 A ,开了 http,ftp ,http ,vnc,sshd,socks5,cvs 等服务。无合法 ip 地址。 外网主机 B ,开了 sshd 服务。有合法 ip : 218.xxx.xxx.xxx 我们的目的是让 B 能访问 A 上的各种服务。 步骤： 1、A 知道 B ip 后，先用 ssh client 连上 B，命令如下： ssh -R 1234:localhost:21 -l root 218.xxx.xxx.xxx 解释： 关于 ssh 的参数，请看 ssh --help -L listen-port:host:port Forward local port to remote address -R listen-port:host:port Forward remote port to local address -L local (本地) -R ：remote (远程) -R 1234:localhost:21 其实做了个“端口转发(forward)"。 意思是主机 A 把本地的 21端口(对应ftp服务)映射为 B 的1234 端口(任意未被占用)，同时 A 监听 B 的1234 端口。 在 B 上用 netstat -al | grep 1234 ，你能看到这个监听连接。 任何发送到 B 1234 端口的请求将被传送到 A的 21 端口。 2、B 用 ftp 工具(任意,如gftp) 连本地的 1234 端口，输入 A 的 ftp 用户和密码。 ftp localhost 1234 千万不要觉的奇怪，为什么连的是本地的地址。 举个不恰当例子，相当于 A 在 B 的房间里装了个窃听器(监听端口)，那么 B 在房间里说的话就通过窃听器传送到了 A。 3、推广： 如果 B 没占用 21 端口的话，那么可以写成： A使用： ssh -R 21:localhost:21 -l root 218.xxx.xxx.xxx B使用： ftp localhost 如果你想使用 A 上的 http 或其他服务，只需改变服务端口： http服务 ： A使用：ssh -R 1234:localhost:80 -l root 218.xxx.xxx.xxx B使用：w3m http://localhost:1234 sshd服务： A使用：ssh -R 1234:localhost:22 -l root 218.xxx.xxx.xxx B使用：ssh localhost -p 1234 vnc 服务： A使用：ssh -R 1234:localhost:5901(其他) -l root 218.xxx.xxx.xxx B使用：vncviewer localhost:1 socks5服务： A使用：ssh -R 1234:localhost:1080 -l root 218.xxx.xxx.xxx B 略 cvs 服务： A使用：ssh -R 1234:localhost:2401 -l root 218.xxx.xxx.xxx B使用：cvs -d :pserver:root@localhost:1234/home/cvsroot login 这里是否一定要用 root ,涉及到权限问题，具体还得靠大家来总结经验。 案例二、 部分朋友会问了，这样的话只是两台机器的互相通讯，如何让广域网的人都能访问呢？ 聪明的你，这时候可能已经有了答案。 内网主机 A ,开了 http,ftp ,http ,vnc,sshd,socks5,cvs等服务。无合法 ip 地址。 外网主机 B ,开了 sshd 服务。有合法 ip : 218.xxx.xxx.xxx 我们的目的是让 internet 上的任何主机能访问 A 上的各种服务。 步骤： 1、首先，B 的sshd 服务端做点小小的设置： vi /etc/ssh/sshd.config 加入 GatewayPorts yes 然后重启 sshd 服务： /etc /init.d/ssh restart 或 /etc/init.d/sshd restart (解释： 不加，默认会把监听端口绑定在 localhost 或 lo(127.0.0.1)，这样除了 B自身别人是没法访问监听端口的。 加入 GatewayPorts yes，把监听端口绑定到 0.0.0.0 ,这样外部的所有机器都能访问到这个监听端口。 主要是考虑安全性问题，默认情况，只允许本地访问。 这里才是真正的难点，实验了一个晚上，累人呀！给点鼓励吧 ：) 2、A 知道 B ip 后，先用 ssh client 连上 B，命令如下： ssh -R 21:localhost:21 -l root 218.xxx.xxx.xxx (事先确定 B 的21 端口未被占用) 3、分布在 internet 的其它客户机使用 ftp 工具(任意)，连 B 21端口。 ftp 218.xxx.xxx.xxx 21 你会发现自己连上了内网 A 的ftp 服务。 此法和案例一完全一样。 internet --------->> B 21 端口----------->>A 21端口 可以叫做端口转发，或隧道技术，也可以称之为跳板(B)，或反弹 。呵呵，我瞎说的。。。 可能遇到的问题： Country:/etc# ssh localhost -p 1234 @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @ @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY! Someone could be eavesdropping on you right now (man-in-the-middle attack)! It is also possible that the RSA host key has just been changed. The fingerprint for the RSA key sent by the remote host is be:5f:d2:45:66:4d:0c:9e:2b:6b:45:65:a7:b2:85:28. Please contact your system administrator. Add correct host key in /root/.ssh/known_hosts to get rid of this message. Offending key in /root/.ssh/known_hosts:11 RSA host key for localhost has changed and you have requested strict checking. Host key verification failed. Country:/etc# ssh localhost -p 1234 root@localhost's password: Last login: Mon May 5 02:39:53 2003 from localhost localhost root # 如上问题，请删除 ~/.ssh/known_hosts，然后再试。 点评： 当然 ssh 还有很多的功能没有用，如先用 ssh 连接 上去后，可以用 scp命令来存取文件，等等。 scp -P xxx user@host:path/file 其它突破网关传送文件的方式也千变万化。 优点是： 可以突破网关，一般情况下，向网管要求在网关上给你做端口映射是不现实的，但用此法你可以让要好的朋友给你做。 使用方案一：比较点对点传送文件比较方便，或使用ssh进行远程控制内网。 ssh本身是加密，保证安全可靠。 缺点也不少： 使用 ssh 加密，势必影响性能，可以用 -C 选项调节压缩率。 如果象方案二使用额外的服务器，数据都要服务器中转(我是这样认为，没跟踪过)，势必影响速度。 公网的服务器不好找。 建议：恳请编程高手们根据类似得原理，做个端口转发小工具，效果会更好。