SSH/FAQ - История изменений

Dzmuh: /* ProxyCommand */

2025-05-19T21:42:25Z

ProxyCommand

← Предыдущая версия		Версия от 21:42, 19 мая 2025
Строка 168:		Строка 168:
	.ssh/config:		.ssh/config:

			<syntaxhighlight lang="ini">
	Host raep		Host raep
	HostName 10.1.1.2		HostName 10.1.1.2
	User user2		User user2
	ProxyCommand ssh -W %h:%p user@8.8.8.8		ProxyCommand ssh -W %h:%p user@8.8.8.8
			</syntaxhighlight>

	Ну а подключение тривиально: ssh raep.		Ну а подключение тривиально: ssh raep.

Dzmuh: /* Проброс агента авторизации */

2025-05-19T21:42:01Z

Проброс агента авторизации

← Предыдущая версия		Версия от 21:42, 19 мая 2025
Строка 139:		Строка 139:

	Для начала о простом пробросе авторизации.		Для начала о простом пробросе авторизации.

	~~Повторю картинку:~~

	[[Файл:8a6f7e772b229939f690db8b89190c94.png]]		[[Файл:8a6f7e772b229939f690db8b89190c94.png]]
Строка 157:		Строка 155:

	Однако, если сервер совсем дурной, то root сервера может использовать сокет для имперсонализации, когда мы подключены.		Однако, если сервер совсем дурной, то root сервера может использовать сокет для имперсонализации, когда мы подключены.

			== ProxyCommand ==

	Есть ещё более могучий метод — он превращает ssh в простой pipe (в смысле, «трубу») через которую насквозь мы осуществляем работу с удалённым сервером.		Есть ещё более могучий метод — он превращает ssh в простой pipe (в смысле, «трубу») через которую насквозь мы осуществляем работу с удалённым сервером.
Строка 168:		Строка 168:
	.ssh/config:		.ssh/config:

	Host raep		Host raep
	HostName 10.1.1.2		HostName 10.1.1.2
	User user2		User user2
	ProxyCommand ssh -W %h:%p user@8.8.8.8		ProxyCommand ssh -W %h:%p user@8.8.8.8

	~~Ну а подключение тривиально: ssh raep.~~

	Ну а подключение тривиально: ssh raep.		Ну а подключение тривиально: ssh raep.

Dzmuh: /* Проброс авторизации */

2025-05-19T21:39:39Z

Проброс авторизации

← Предыдущая версия		Версия от 21:39, 19 мая 2025
Строка 317:		Строка 317:

	Легко понять, что в таких условиях невозможно никаким DPI (deep packet inspection) отловить подобные туннели — либо ssh разрешён (читай — делай что хочешь), либо ssh запрещён (и можно смело из такой компании идиотов увольняться не ощущая ни малейшего сожаления).		Легко понять, что в таких условиях невозможно никаким DPI (deep packet inspection) отловить подобные туннели — либо ssh разрешён (читай — делай что хочешь), либо ssh запрещён (и можно смело из такой компании идиотов увольняться не ощущая ни малейшего сожаления).

	~~== Проброс авторизации ==~~

	OpenSSH позволяет использовать сервера в качестве плацдарма для подключения к другим серверам, даже если эти сервера недоверенные и могут злоупотреблять чем хотят.

	~~Для начала о простом пробросе авторизации.~~

	~~[[Файл:8a6f7e772b229939f690db8b89190c94.png]]~~

	Допустим, мы хотим подключиться к серверу 10.1.1.2, который готов принять наш ключ. Но копировать его на 8.8.8.8 мы не хотим, ибо там проходной двор и половина людей имеет sudo и может шариться по чужим каталогам. Компромиссным вариантом было бы иметь «другой» ssh-ключ, который бы авторизовывал user@8.8.8.8 на 10.1.1.2, но если мы не хотим пускать кого попало с 8.8.8.8 на 10.1.1.2, то это не вариант (тем паче, что ключ могут не только поюзать, но и скопировать себе «на чёрный день»).

	ssh предлагает возможность форварда ssh-агента (это такой сервис, который запрашивает пароль к ключу). Опция ssh -A пробрасывает авторизацию на удалённый сервер.

	~~Вызов выглядит так:~~

	~~<syntaxhighlight lang="bash">ssh -A user@8.8.8.8 ssh user2@10.1.1.2</syntaxhighlight>~~

	Удалённый ssh-клиент (на 8.8.8.8) может доказать 10.1.1.2, что мы это мы только если мы к этому серверу подключены и дали ssh-клиенту доступ к своему агенту авторизации (но не ключу!).

	~~В большинстве случаев это прокатывает.~~

	Однако, если сервер совсем дурной, то root сервера может использовать сокет для имперсонализации, когда мы подключены.

	'''Есть ещё более могучий метод''' — он превращает ssh в простой pipe (в смысле, «трубу») через которую насквозь мы осуществляем работу с удалённым сервером.

	Главным достоинством этого метода является полная независимость от доверенности промежуточного сервера. Он может использовать поддельный ssh-сервер, логгировать все байты и все действия, перехватывать любые данные и подделывать их как хочет — взаимодействие идёт между «итоговым» сервером и клиентом. Если данные оконечного сервера подделаны, то подпись не сойдётся. Если данные не подделаны, то сессия устанавливается в защищённом режиме, так что перехватывать нечего.

	Настройка завязана на две возможности ssh: опцию -W (превращающую ssh в «трубу») и опцию конфига ProxyCommand (опции командной строки, вроде бы нет), которая говорит «запустить программу и присосаться к её stdin/out».

	~~Выглядит это так (циферки для картинки выше):~~

	~~.ssh/config:~~

	~~<syntaxhighlight lang="ini">~~
	~~Host raep~~
	~~HostName 10.1.1.2~~
	~~User user2~~
	~~ProxyCommand ssh -W %h:%p user@8.8.8.8~~
	~~</syntaxhighlight>~~

	~~Ну а подключение тривиально: <code>ssh raep</code>.~~

	Повторю важную мысль: сервер 8.8.8.8 не может перехватить или подделать трафик, воспользоваться агентом авторизации пользователя или иным образом изменить трафик. Запретить — да, может. Но если разрешил — пропустит через себя без расшифровки или модификации. Для работы конфигурации нужно иметь свой открытый ключ в authorized_keys как для user@8.8.8.8, так и в user2@10.1.1.2

	Разумеется, подключение можно оснащать всеми прочими фенечками — прокидыванием портов, копированием файлов, сокс-прокси, L2-туннелями, туннелированием X-сервера и т.д.

	== Ссылки и источники ==		== Ссылки и источники ==

Dzmuh: /* Проброс авторизации */

2025-05-19T21:08:39Z

Проброс авторизации

← Предыдущая версия		Версия от 21:08, 19 мая 2025
Строка 358:		Строка 358:

	Ну а подключение тривиально: <code>ssh raep</code>.		Ну а подключение тривиально: <code>ssh raep</code>.

			Повторю важную мысль: сервер 8.8.8.8 не может перехватить или подделать трафик, воспользоваться агентом авторизации пользователя или иным образом изменить трафик. Запретить — да, может. Но если разрешил — пропустит через себя без расшифровки или модификации. Для работы конфигурации нужно иметь свой открытый ключ в authorized_keys как для user@8.8.8.8, так и в user2@10.1.1.2

			Разумеется, подключение можно оснащать всеми прочими фенечками — прокидыванием портов, копированием файлов, сокс-прокси, L2-туннелями, туннелированием X-сервера и т.д.

	== Ссылки и источники ==		== Ссылки и источники ==

Dzmuh: /* Проброс авторизации */

2025-05-19T21:00:24Z

Проброс авторизации

← Предыдущая версия		Версия от 21:00, 19 мая 2025
Строка 340:		Строка 340:
	Однако, если сервер совсем дурной, то root сервера может использовать сокет для имперсонализации, когда мы подключены.		Однако, если сервер совсем дурной, то root сервера может использовать сокет для имперсонализации, когда мы подключены.

	Есть ещё более могучий метод — он превращает ssh в простой pipe (в смысле, «трубу») через которую насквозь мы осуществляем работу с удалённым сервером.		'''Есть ещё более могучий метод''' — он превращает ssh в простой pipe (в смысле, «трубу») через которую насквозь мы осуществляем работу с удалённым сервером.

	Главным достоинством этого метода является полная независимость от доверенности промежуточного сервера. Он может использовать поддельный ssh-сервер, логгировать все байты и все действия, перехватывать любые данные и подделывать их как хочет — взаимодействие идёт между «итоговым» сервером и клиентом. Если данные оконечного сервера подделаны, то подпись не сойдётся. Если данные не подделаны, то сессия устанавливается в защищённом режиме, так что перехватывать нечего.		Главным достоинством этого метода является полная независимость от доверенности промежуточного сервера. Он может использовать поддельный ssh-сервер, логгировать все байты и все действия, перехватывать любые данные и подделывать их как хочет — взаимодействие идёт между «итоговым» сервером и клиентом. Если данные оконечного сервера подделаны, то подпись не сойдётся. Если данные не подделаны, то сессия устанавливается в защищённом режиме, так что перехватывать нечего.
Строка 357:		Строка 357:
	</syntaxhighlight>		</syntaxhighlight>

	Ну а подключение тривиально: ssh raep.		Ну а подключение тривиально: <code>ssh raep</code>.

	== Ссылки и источники ==		== Ссылки и источники ==

Dzmuh: /* Проброс авторизации */

2025-05-19T20:59:05Z

Проброс авторизации

@@ Строка 324: / Строка 324: @@
 Для начала о простом пробросе авторизации.
-Повторю картинку:
+[[Файл:8a6f7e772b229939f690db8b89190c94.png]]
 == Ссылки и источники ==

Dzmuh: /* Туннелирование */

2025-05-19T20:55:01Z

Туннелирование

← Предыдущая версия		Версия от 20:55, 19 мая 2025
Строка 316:		Строка 316:
	Подробнее описано тут: http://www.khanh.net/blog/archives/51-using-openSSH-as-a-layer-2-ethernet-bridge-VPN.html		Подробнее описано тут: http://www.khanh.net/blog/archives/51-using-openSSH-as-a-layer-2-ethernet-bridge-VPN.html

	(~~сам я увы~~, ~~таким~~ не ~~пользовался~~).		Легко понять, что в таких условиях невозможно никаким DPI (deep packet inspection) отловить подобные туннели — либо ssh разрешён (читай — делай что хочешь), либо ssh запрещён (и можно смело из такой компании идиотов увольняться не ощущая ни малейшего сожаления).

	~~Легко понять, что~~ в таких условиях невозможно никаким DPI (deep packet inspection) отловить подобные туннели — либо ssh разрешён (читай — делай что хочешь), ~~либо ssh запрещён (~~и ~~можно смело из такой компании идиотов увольняться не ощущая ни малейшего сожаления)~~.		== Проброс авторизации ==

			OpenSSH позволяет использовать сервера в качестве плацдарма для подключения к другим серверам, даже если эти сервера недоверенные и могут злоупотреблять чем хотят.

			Для начала о простом пробросе авторизации.

			Повторю картинку:

	== Ссылки и источники ==		== Ссылки и источники ==

Dzmuh: /* Копирование ключа на сервер */

2022-12-01T21:30:36Z

Копирование ключа на сервер

← Предыдущая версия		Версия от 21:30, 1 декабря 2022
Строка 23:		Строка 23:
	Если вы знаете пароль пользователя, то процесс можно упростить. Команда <code>ssh-copy-id user@server</code> позволяет скопировать ключ не редактируя файлы вручную.		Если вы знаете пароль пользователя, то процесс можно упростить. Команда <code>ssh-copy-id user@server</code> позволяет скопировать ключ не редактируя файлы вручную.

	;Замечание: Старые руководства по ssh упоминают про <code>authorized_keys2</code>. Причина: была первая версия ssh, потом стала вторая (текущая), для неё сделали свой набор конфигов, всех это очень утомило, и вторая версия уже давным давно переключилась на версии без всяких «2». То есть всегда authorized_keys и не думать о разных версиях.		{{ambox
			\|type = notice
			\|text = Замечание
			\|text-small = Старые руководства по ssh упоминают про <code>authorized_keys2</code>. Причина: была первая версия ssh, потом стала вторая (текущая), для неё сделали свой набор конфигов, всех это очень утомило, и вторая версия уже давным давно переключилась на версии без всяких «2». То есть всегда authorized_keys и не думать о разных версиях.
			}}

	Если у вас ssh на нестандартном порту, то <code>ssh-copy-id</code> требует особого ухищрения при работе: <code>ssh-copy-id '-p 443 user@server'</code> (внимание на кавычки).		Если у вас ssh на нестандартном порту, то <code>ssh-copy-id</code> требует особого ухищрения при работе: <code>ssh-copy-id '-p 443 user@server'</code> (внимание на кавычки).

Dzmuh: /* Ссылки и источники */

2022-12-01T21:25:44Z

Ссылки и источники

← Предыдущая версия		Версия от 21:25, 1 декабря 2022
Строка 328:		Строка 328:
	}}		}}

	[[Категория:~~Работаем с~~ SSH\|*FAQ]]		[[Категория:Документация к SSH\|*FAQ]]

Dzmuh: /* Ссылки и источники */

2022-02-18T14:06:55Z

Ссылки и источники

← Предыдущая версия		Версия от 14:06, 18 февраля 2022
Строка 328:		Строка 328:
	}}		}}

	[[Категория:Работаем с SSH\|*]]		[[Категория:Работаем с SSH\|*FAQ]]