Попытка подключения к серверам в удаленной локальной сети с помощью более мягкого VPN-клиента и iptables nat ip_forwarding

Итак, следуя по https://superuser.com/questions/923747/vpn-ip-forwarding-and-nat/925570 меня есть вопрос, который может быть очень глупым, но если вам нужен только доступ на определенные порты, такие как http / https, вы пробовали SSH Tunneling? Это гораздо проще, чем настроить VPN. В конечном итоге вы выполняете ssh с одного компьютера на другой, а затем заставляете целевой компьютер установить прямое соединение с чем-либо и перенаправляете это соединение обратно на локальный компьютер.

Допустим, вы можете получить доступ к общедоступной (DMZ) части машины AAAA, которая, в свою очередь, может получить доступ к частной BBBB машины, и вы хотите подключиться к службе HTTPS (порт 443), и при условии, что на вашем рабочем столе уже есть служба, работающая на 443 Таким образом, вы будете иметь службу слушать локально на 4443.

   ssh -L4443:B.B.B.B:443 adminuser@A.A.A.A

Затем войдите в систему, запустите локальный браузер и перейдите по https://localhost:4443/ или, если хотите, добавьте запись в свой файл hosts, отправив 127.0.0.1 по адресу предполагается.vhost.name, а затем перейдите по адресу https://intended.vhost.name:4443/

Если вам действительно нужно VPN, то...

Можете ли вы пропинговать IP-адрес локальной и противоположной сторон туннеля со своего ноутбука? Можете ли вы пропинговать другой компьютер в сети противоположного сайта? Если вы не можете попытаться отследить его и посмотреть, получите ли вы эхо от локальных и удаленных сайтов туннеля (если нет, ваша маршрутизация неверна).

Каковы различные сетевые адреса? Вы можете попытаться указать маршрут, на какое устройство вы ожидаете отправку трафика, в противном случае он должен быть в состоянии сделать вывод.

Я перечитывал это и думал, что добавлю некоторые заметки, которые могут помочь любому, кто пытается следовать тому, что я предложил:

Чтобы получить доступ к https://intended.vhost.name:4443/ и иметь этот туннель, вам нужно добавить запись в ваш файл hosts. В Linux это / etc / hosts в Windows это c:/windows/system32/drivers/etc/hosts В любом случае вам понадобятся права администратора для сохранения файла (sudo для Linux, откройте блокнот как администратор в Windows). Затем добавьте следующую строку:-

127.0.0.1        intended.vhost.name

Еще одна вещь, которую я упомянул, это настройка на компьютере туннеля для прослушивания, который может пробить дыру в брандмауэре. Как обсуждалось ранее, запуск ssh -L4443:BBBB:443 adminuser@AAAA откроет терминал ssh на компьютере AAAA и при этом туннелирует трафик с локального (-L) порта 127.0.0.1:4443 на BBBB:443 (127.0.0.1 подразумевается). Предполагая, что ваш локальный компьютер - CCCC, и вы хотите открыть порт 4443 на этом IP, для доступа других компьютеров вы можете сделать это:-

ssh -LC.C.C.C:4443:B.B.B.B:443 adminuser@A.A.A.A

Здесь стоит отметить, что если вы добавите параметр -T, вы измените поведение ssh, чтобы открыть соединение ssl, затем туннель и не запускать терминал внутри него.

Когда я сделал это раньше, я настроил пользователя на локальном компьютере (скажем, tunneluser) и создал для него набор ключей ssh ​​в ~tunneluser/.ssh, а затем убедился, что файл ~tunneluser/.ssh/id_rsa.pub В списке, указанном на удаленных машинах ~adminuser/.ssh/authorized_keys, соединение ssh будет запущено без запроса пароля. В качестве функции безопасности вы можете настроить tunneluser удаленно, используя /bin/false в качестве оболочки (в /etc/passwd), тогда соединение не будет установлено, если вы пропустите параметр -T.

Простой способ реализовать это - включить его в скрипт в /etc/init.d, который запускается после работы в сети (обычно в rc3.d). Я хотел бы предложить уровень безопасности, хотя (избегайте запускать его как root), используя

sudo -u tunneluser "ssh -T -i/home/tunneluser/.ssh/id_rsa.pub -LC.C.C.C:4443:B.B.B.B:443 tunneluser@A.A.A.A"

Обратите внимание, что если IP-адрес, который вы хотите прослушивать (перечисленные выше: 4443), является "привилегированным портом" (т. Е. Он входит в диапазон, обычно используемый системными службами), вам потребуется запустить ssh от имени root, чтобы получить разрешение слушать там.

Любой пользователь окна должен просто получить доступ к https://c.c.c.c:4443/, и он увидит сайт, который находится по адресу https://BBBB: 443.

Если на машине в CCCC нет блокировки службы:443, используйте ее вместо: 4443, и https://CCCC будет эквивалентно https://BBBB.

Кроме того, если намерение полностью изменено, скажем, что вы находитесь на машине с доступом к CCCC, вы хотите пробить дыру в DMZ через машину AAAA, чтобы пользователи, которые могут получить доступ к BBBB, могли получить доступ к CCCC через туннель, не имея возможности чтобы получить к нему прямой доступ, вы используете -R вместо -L (и слушающий сокет находится на удаленном, а не на локальной стороне туннеля). Я включаю -T, чтобы показать, как он используется.

ssh -T -RB.B.B.B:4443:C.C.C.C:443 adminuser@A.A.A.A