[Comm] ssh over proxy

[Comm] ssh over proxy

[Denis G. Samsonenko]

День добрый!

Наконец-то наш дом подключили к университетской сети и теперь у меня
есть выход в И-нет. Всё это замечательно, но есть одно но.

В И-нет ходится только через прокси (proxy.nsu.ru:8888). В броузере
(Mozilla), в X-Downloader и d gFTP я этот самый прокси прописал и всё
это работает.

Теперь главное. У меня на работе есть сервер, на который я хотел бы из
дома заходить по ssh. Но ssh из дома во вне у меня не проходит: пишет,
что not route до указанного сервера. ping во вне отфильтровывается
cisco.nsu.ru

Вот теперь у меня и возник вопрос, можно ли ходить по ssh через этот
самый прокси, и если можно, то как? Всё ли для этого есть у меня в
системе (Compact 2.3 + contrib)?

И в дополнение, можно ли организовать дусторонне соединение из дома на
необходимый сервер, чтобы я мог не только логиниться из дома на сервер
на работе, но и наоборот с работы ходить на домашний компьтер, если он
включен?

Подскажите, пожалуста, что можно сделать по поводу всего выше изложенного.

Всего доброго,

Денис.

---------------
earthsea@ngs.ru

Re: [Comm] ssh over proxy

[Alexey Bayguzov]

On Thu,  3 Jun 2004 11:46:26 +0700
"Denis G. Samsonenko" <earthsea@ngs.ru> wrote:

> Подскажите, пожалуста, что можно сделать по поводу всего выше изложенного.

Денис, а не проще ли договориться с админами nsu.ru об открытии 22 порта для хождения в обе стороны?
ИМХО тут уже играет роль не сколько возможность работы ssh over proxy, сколько нормальная поддержка
со стороны провайдера.

С уважением,
    Алексей
----------------------------------------
Alexei V. Bayguzov		
E-mail: mrbond@itc.nstu.ru
----------------------------------------

Re: [Comm] ssh over proxy

[Dmitriy Shcherbakov]

Добрый день!

>Вот теперь у меня и возник вопрос, можно ли ходить по ssh через этот
>самый прокси, и если можно, то как? Всё ли для этого есть у меня в
>системе (Compact 2.3 + contrib)?
>  
>
Попробуйте transconnect:

Description: use internet with HTTP CONNECT
 Transconnect is an implementation to allow network connections over
 a HTTP proxy. This should work under almost all linux distributions using
 glibc, and all proxies allowing https CONNECT (eg squid).


С уважением, Дмитрий

Re: [Comm] ssh over proxy

[Denis G. Samsonenko]

День добрый!

Цитирую Alexey Bayguzov <mrbond@itc.nstu.ru>:
> Денис, а не проще ли договориться с админами nsu.ru об открытии 22
> порта для хождения в обе стороны?
> ИМХО тут уже играет роль не сколько возможность работы ssh over
> proxy, сколько нормальная поддержка со стороны провайдера.
> С уважением,
>     Алексей

Может оказаться не проще. Я конечно попытаюсь прояснить этот вопрос у
местных администраторов, но может оказаться, что на встречу мне никто
не пойдёт. Поэтому я заранее решил поискать обходные пути.


Всего доброго,

Денис.

---------------
earthsea@ngs.ru

Re: [Comm] ssh over proxy

[Denis G. Samsonenko]

Добрый день!
 
> Попробуйте transconnect:
> Description: use internet with HTTP CONNECT
> Transconnect is an implementation to allow network connections
> over a HTTP proxy. This should work under almost all linux
> distributions using
> glibc, and all proxies allowing https CONNECT (eg squid).
> С уважением, Дмитрий

Спасибо, Дмитрий! Вроде бы в contrib я его нашёл, буду вечером пробовать.

Всего доброго,

Денис.

---------------
earthsea@ngs.ru

[Comm] Re: ssh over proxy

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 693 bytes --]

Dmitriy Shcherbakov пишет:
> Добрый день!
> 
>> Вот теперь у меня и возник вопрос, можно ли ходить по ssh через этот
>> самый прокси, и если можно, то как? Всё ли для этого есть у меня в
>> системе (Compact 2.3 + contrib)?
>>  
>>
> Попробуйте transconnect:
> 
> Description: use internet with HTTP CONNECT
> Transconnect is an implementation to allow network connections over
> a HTTP proxy. This should work under almost all linux distributions using
> glibc, and all proxies allowing https CONNECT (eg squid).

Кстати, в этом eg squid или что там стоит у администраторов, 
должен быть разрешён CONNECT на порт 22.

<skipped/>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 252 bytes --]

Re: [Comm] ssh over proxy

[Denis G. Samsonenko]

Добрый день!
 
> Попробуйте transconnect:

[...]$ transconnect ssh some.server.ru
Connection Refused: Forbidden
ssh: connect to host some.server.ru port 22: Connection refused

На сколько я понял, не сработало. Есть ли ещё какие-нибудь методы
заставить ходить ssh через прокси?

Всего доброго,

Денис.

---------------
earthsea@ngs.ru

Re: [Comm] ssh over proxy

[Dmitriy Shcherbakov]

Добрый день!

>[...]$ transconnect ssh some.server.ru
>Connection Refused: Forbidden
>ssh: connect to host some.server.ru port 22: Connection refused
>На сколько я понял, не сработало. Есть ли ещё какие-нибудь методы
>заставить ходить ssh через прокси?
>  
>
Ну, если Вы все правильно настроили и не получилось, то, как я понимаю, 
придется все-таки беседовать с провайдером на тему открытия 22 порта, 
как это рекомендовал сделать Alexey Bayguzov, или по поводу разрешения 
CONNECT на порт 22, как справедливо заметил Виталий Останин.

(но возможно есть и другие методы, о которых я просто не знаю)

С уважением, Дмитрий

Re: [Comm] ssh over proxy

[Denis G. Samsonenko]

Добрый день!
 
> Ну, если Вы все правильно настроили и не получилось, то, как я
> понимаю, 
> придется все-таки беседовать с провайдером на тему открытия 22
> порта, 
> как это рекомендовал сделать Alexey Bayguzov, или по поводу
> разрешения 
> CONNECT на порт 22, как справедливо заметил Виталий Останин.
> (но возможно есть и другие методы, о которых я просто не знаю)
> С уважением, Дмитрий

По моему запросу мне ответили следующее: "Выход наружу по ssh есть
только по платному каналу".

Так что договориться с админами не получится.

Всего доброго,

Денис.

---------------
earthsea@ngs.ru

Re: [Comm] ssh over proxy

[Antonio]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

On Fri, 4 Jun 2004, Denis G. Samsonenko wrote:

> По моему запросу мне ответили следующее: "Выход наружу по ssh есть
> только по платному каналу".

Чтобы вам ходить через transconnect, нужно:

1. Друг, у которого есть прокси, понимающий метод CONNECT (и,
по-моему, SSL) на разрешённом для вас порту.  Чтобы не
превратить друга в Open Relay, его прокси должен либо принимать
коннекты только с вашего IP, либо быть парольным (лучше и то и
другое).

2. Прописать данные о прокси в конфиг transconnect'а.

Замечания:

1.suid-программы работать не будут (см. README).
2. Друг попадает на (будет оплачивать) ваш трафик.

P.S. Когда у меня тоже резали почти все порты, я так в IRC
сидел (прокси откопал в одном из списков free-proxy).

- -- 
Best regards,
	Tony.			mailto:obidos@mail.ru
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.0 (GNU/Linux)

iD8DBQFAwDkz2gaLrWRbr5URAmh3AJ9A7/E+DXrvMVumXUT+iMtwyL/QeACfXCzr
8+fy1riRt/m34u0lSrnaCfw=
=C3WV
-----END PGP SIGNATURE-----

[Comm] Re: ssh over proxy

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 979 bytes --]

Denis G. Samsonenko пишет:
> Добрый день!
>  
> 
>>Ну, если Вы все правильно настроили и не получилось, то, как я
>>понимаю, 
>>придется все-таки беседовать с провайдером на тему открытия 22
>>порта, 
>>как это рекомендовал сделать Alexey Bayguzov, или по поводу
>>разрешения 
>>CONNECT на порт 22, как справедливо заметил Виталий Останин.
>>(но возможно есть и другие методы, о которых я просто не знаю)
>>С уважением, Дмитрий
> 
> 
> По моему запросу мне ответили следующее: "Выход наружу по ssh есть
> только по платному каналу".

А чей ssh? Если свой сервер или у него вменяемый админ, можно 
сделать перенаправление порта, на который squid пускает. Как 
правило, 80, 443, 8080, 8081.

Если запрещён сам метод CONNECT, тады ой.

> Так что договориться с админами не получится.

Админы, как правило, любят пользователей, которые знают про ssh 
:) Трафик там не большой, пиво они наверняка пьют... ;)

<skipped/>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 252 bytes --]

[Comm] [JT] Re: ssh over proxy

[Antonio]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

On Fri, 4 Jun 2004, Vitaly Ostanin wrote:

> Админы, как правило, любят пользователей, которые знают про ssh

Это точно. Ещё rsync и CVS уважают. Это если правильные админы.

> :) Трафик там не большой,

;-))) Ага... Льём кино/музыку с рабочей машинки домой или
наоборот. ;-))) Оп-паньки, а кто это три гига трафика съел? ;-)

> пиво они наверняка пьют... ;)
Ну, если не пиво, то прочие спиртные либо неспиртные напитки.

- -- 
Best regards,
	Tony.			mailto:obidos@mail.ru
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.0 (GNU/Linux)

iD8DBQFAwEYb2gaLrWRbr5URAqH1AJ428x0dBAIlHyVhJrd6pGKMzGkI6ACeLYmN
BHuaU4N+msd40N4CKMh1Mxk=
=/mJL
-----END PGP SIGNATURE-----

Re: [Comm] Re: ssh over proxy

[Denis G. Samsonenko]

Добрый день!

> А чей ssh? Если свой сервер или у него вменяемый админ, можно 
> сделать перенаправление порта, на который squid пускает. Как 
> правило, 80, 443, 8080, 8081.

Перенаправить порт можно, вот только не помешает ли это работе apache,
который работает на этом же сервере?
 
> Если запрещён сам метод CONNECT, тады ой.

А можно ли это как-нибудь проверить?

Вот ещё нащёл такую статью:

http://www.opennet.ru/base/net/ssh_over_ssl.txt.html

Там вроде бы описывается моя проблема. Пытаюсь сделать на стороне
сервера как у них написано:

stunnel -p stunnel.pem -r 22 -d https

Он молча завершается и всё, никаких слов не пишет. В выводе ps -aux
отсутствует. Почему так?

Всего доброго,

Денис.

---------------
earthsea@ngs.ru

[Comm] Re: ssh over proxy

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 1270 bytes --]

Denis G. Samsonenko пишет:
> Добрый день!
> 
> 
>>А чей ssh? Если свой сервер или у него вменяемый админ, можно 
>>сделать перенаправление порта, на который squid пускает. Как 
>>правило, 80, 443, 8080, 8081.
> 
> Перенаправить порт можно, вот только не помешает ли это работе apache,
> который работает на этом же сервере?

Сразу на всех этих портах? ;) Тогда помешает.

>>Если запрещён сам метод CONNECT, тады ой.
> 
> А можно ли это как-нибудь проверить?

Попробуйте настроить виндовую icq на использование https прокси 
(провайдера). Если подключится, как минимум, разрешён CONNECT на 
443 порт серверов icq.

> Вот ещё нащёл такую статью:
> 
> http://www.opennet.ru/base/net/ssh_over_ssl.txt.html
> 
> Там вроде бы описывается моя проблема. Пытаюсь сделать на стороне
> сервера как у них написано:
> 
> stunnel -p stunnel.pem -r 22 -d https
> 
> Он молча завершается и всё, никаких слов не пишет. В выводе ps -aux
> отсутствует. Почему так?

Не знаю. Читайте маны на stunnel, включайте отладку, смотрите в 
логи. А почему всё-таки не попробовать на стороне сервера 
redirect доступного порта на 22-й порт ?

stunnel нужен, в основном, для шифрования канала, с этим ssh и 
сам справляется.

<skipped/>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 252 bytes --]

Re: [Comm] Re: ssh over proxy

[Denis G. Samsonenko]

Добрый день!

> >>... 80, 443, 8080, 8081.
> > Перенаправить порт можно, вот только не помешает ли это работе
> > apache, который работает на этом же сервере?
> 
> Сразу на всех этих портах? ;) Тогда помешает.

Ну, конечно же не на всех портах сразу. Просто такой вопрос: какой из
этих портов выбрать? На сервере крутится apache, который обслуживает
запросы по http://... и https://...

> ... А почему всё-таки не попробовать на стороне сервера 
> redirect доступного порта на 22-й порт ?

Да я не против, если это не помешает apache. Не подскажете ли, чем
можно выполнить это перенаправление, а то никогда не пробовал и не
знаю чем это можно делать.

Всего доброго,

Денис.

---------------
earthsea@ngs.ru

[Comm] Re: ssh over proxy

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 866 bytes --]

Denis G. Samsonenko пишет:
> Добрый день!
> 
> 
>>>>... 80, 443, 8080, 8081.
>>>
>>>Перенаправить порт можно, вот только не помешает ли это работе
>>>apache, который работает на этом же сервере?
>>
>>Сразу на всех этих портах? ;) Тогда помешает.
> 
> 
> Ну, конечно же не на всех портах сразу. Просто такой вопрос: какой из
> этих портов выбрать? На сервере крутится apache, который обслуживает
> запросы по http://... и https://...

Выберите свободный.

>>... А почему всё-таки не попробовать на стороне сервера 
>>redirect доступного порта на 22-й порт ?
> 
> 
> Да я не против, если это не помешает apache. Не подскажете ли, чем
> можно выполнить это перенаправление, а то никогда не пробовал и не
> знаю чем это можно делать.

С ядром 2.2.x - ipchains, с ядрами 2.4.x/2.6.x - iptables.

<skipped/>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 252 bytes --]

Re: [Comm] Re: ssh over proxy

[Denis G. Samsonenko]

Добрый день!

> >>>>... 80, 443, 8080, 8081.
> Выберите свободный.
> ...
> С ядром 2.2.x - ipchains, с ядрами 2.4.x/2.6.x - iptables.

Спасибо! Буду пробовать.

Всего доброго,

Денис.

---------------
earthsea@ngs.ru

Re: [Comm] Re: ssh over proxy

[Denis G. Samsonenko]

Добрый день!

Всё же смог я это дело победить!

> >>>>... 80, 443, 8080, 8081.
> Выберите свободный.

В общем я выяснил, что этот самый прокси пускает только по 443 и 563
портам.
 
> >>... А почему всё-таки не попробовать на стороне сервера 
> >>redirect доступного порта на 22-й порт ?
> >... не знаю чем это можно делать.
> С ядром 2.2.x - ipchains, с ядрами 2.4.x/2.6.x - iptables.

Вставил я в скрипт файрфола на сервере такую строку:

iptables -t nat -A PREROUTING -p tcp --dport 563 -j REDIRECT --to-ports 22

А дома использую вызов (предварительно указав параметры прокси в
/etc/transconnect.conf)

transconnect ssh my.server.ru -C -2 -p 563

и всё вроде теперь работает. Правда медленно, т.к. канал тонкий (~4KB/s).

Спасибо всем откликнувшимся за наставление на путь истинный. :)

Всего доброго,

Денис.

---------------
earthsea@ngs.ru