Попытка соединиться с серверами в удаленной LAN с softether клиентом VPN и iptables туземным ip_forwarding

Хорошо, продолжаем от https://superuser.com/questions/923747/vpn-ip-forwarding-and-nat/925570#925570 У меня есть что может быть действительно глупый вопрос, но если все, что вам нужно, это доступ к определенным портам, например http / https, пробовали ли вы туннелирование SSH? Это намного проще, чем настроить VPN. В конечном итоге вы отправляете ssh с одной машины на другую, а затем целевая машина устанавливает прямое соединение с чем-то, и это соединение перенаправляется обратно на вашу локальную машину.

Допустим, вы можете получить доступ к общедоступной (DMZ) части машины AAAA, которая, в свою очередь, может получить доступ к частной машине BBBB, и вы хотите подключиться к службе HTTPS (порт 443), и при условии, что на вашем рабочем столе уже есть служба работает на 443, поэтому у вас будет локальное прослушивание службы на 4443.

   ssh -L4443:B.B.B.B:443 adminuser@A.A.A.A

Затем войдите в систему, запустите локальный браузер и перейдите по адресу https: // localhost: 4443 или, если хотите добавьте запись в свой файл hosts, отправив 127.0.0.1 на предназначенный.vhost.name, а затем перейдите на https://intended.vhost.name:4443/

Если вам ДЕЙСТВИТЕЛЬНО нужен vpn, тогда. ..

Можно ли с портативного компьютера пропинговать IP-адрес локальной и противоположной сторон туннеля? Можете ли вы пропинговать другой компьютер в сети противоположного сайта? Если вы не можете попробовать трассировку, и посмотрите, получаете ли вы эхо-сигнал от локальных и удаленных сайтов туннеля (если нет, ваша маршрутизация неверна).

Каковы различные сетевые адреса? Вы можете попробовать указать маршрут, с какого устройства вы ожидаете, что он будет отправлять трафик, иначе он должен иметь возможность делать выводы.

Я перечитывал это и подумал, что добавлю несколько примечаний, которые могут облегчить любому, кто пытается следовать тому, что я предложил: -

Чтобы сделать возможным доступ к https: // предназначено. vhost.name:4443/ и у вас есть этот туннель, вам нужно добавить запись в ваш файл hosts. В Linux это / etc / hosts в Windows это c: / windows / system32 / drivers / etc / hosts В любом случае вам потребуются права администратора для сохранения файла (sudo для Linux, откройте блокнот от имени администратора в Windows). Затем добавьте следующую строку: -

127.0.0.1        intended.vhost.name

Другая вещь, о которой я упомянул, - это настройка прослушивающего туннеля на машине, который может пробить брешь в брандмауэре. Как обсуждалось ранее, запуск ssh -L4443: BBBB: 443 (скрытый) откроет терминал ssh на машине AAAA, и при этом будет туннелировать трафик с локального (-L) порта 127.0.0.1:4443 на BBBB: 443 ( 127.0.0.1). Предполагая, что ваш локальный компьютер - это CCCC, и вы хотите открыть порт 4443 на этом IP-адресе, для доступа других компьютеров вы можете сделать это: -

ssh -LC.C.C.C:4443:B.B.B.B:443 adminuser@A.A.A.A

Здесь стоит отметить, что если вы добавите параметр -T, вы измените поведение ssh , чтобы открыть ssl-соединение, затем туннель, а не запускать терминал внутри него.

Сделав это раньше, я настраиваю пользователя на локальном компьютере (скажем, tunneluser) и создаю для него набор ключей ssh ​​в ~ tunneluser / .ssh, затем проверяю файл ~ tunneluser / .ssh / id_rsa .pub указан на удаленных машинах ~ adminuser / .ssh / authorized_keys, тогда ssh-соединение запустится без запроса пароля. В качестве функции безопасности вы можете настроить туннель-пользователя удаленно, используя / bin / false в качестве его оболочки (в / etc / passwd), тогда соединение не удастся, если вы пропустите параметр -T.

Самый простой способ реализовать это - включить его в сценарий в /etc/init.d, который запускается после подключения к сети (обычно в rc3.d). Я бы предложил уровень безопасности (не запускайте его как root), используя

sudo -u tunneluser "ssh -T -i/home/tunneluser/.ssh/id_rsa.pub -LC.C.C.C:4443:B.B.B.B:443 tunneluser@A.A.A.A"

. Обратите внимание, что если IP-адрес, который вы хотите прослушивать (указанный выше: 4443), является «привилегированным портом» (т.е. он находится в диапазоне обычно используется системными службами), вам нужно запустить ssh от имени root, чтобы получить разрешение на прослушивание.

Тогда любому пользователю окна нужно просто получить доступ к https: //C.C.C.C: 4443 , и он увидит сайт, который был на https: //B.B.B.B: 443 .

Если на компьютере в CCCC не установлена ​​блокировка службы: 443, используйте ее вместо: 4443, а https: // CCCC будет эквивалентно https: // BBBB

Кроме того, если намерение изменено на противоположное, скажем, вы находитесь на машине с доступом кCCC, вы хотите пробить дыру в DMZ через машину AAAA, чтобы пользователи, которые имеют доступ к BBBB, могли получить доступ кCCC через туннель, не будучи имея возможность получить к нему доступ напрямую, вы используете -R вместо -L (и прослушивающий сокет находится на удаленной, а не на локальной стороне туннеля). Я добавляю -T, чтобы показать, как он используется.

ssh -T -RB.B.B.B:4443:C.C.C.C:443 adminuser@A.A.A.A