Библиотека знаний - ssh

Конвертирвоние из openssh в ssh-2

Anonymous (anonymous@undisclosed.example.com) — 2018-03-10T12:23:59+00:00

ssh, openssh, rsa, dsa, networks, networking, network

Конвертирвоние из openssh в ssh-2

OpenSSH

Конвертирвоние из openssh в ssh-2

$ ssh-keygen -e -f openssh.pub > ssh2.pub

Важное

Invalid key length

debug1: Trying private key: /home/mirocow/.ssh/id_rsa
Enter passphrase for key '/home/mirocow/.ssh/id_rsa':
Load key "/home/mirocow/.ssh/id_rsa": Invalid key length
Если возникнет подобная ошибка, знайте!!!
Программистам из OpenSSH/OpenSSL команды - насрать на вас
Начиная с версии OpenSSH 7.6/7.6p1 ключ 1024 больше не поддерживается

SSH-2

RFC 4716

Конвертирвоние из ssh-2 в openssh

$ ssh-keygen -i -f ssh2.pub > openssh.pub

Защита ssh средствами iptables

Anonymous (anonymous@undisclosed.example.com) — 2015-09-30T08:37:15+00:00

firewall, iptables, ssh

Защита ssh средствами iptables

Ограничение количества подключений

Для защиты от brute force (перебора паролей), можно ограничить количество подключений на 22 порт с одного ip адреса до нескольких раз в минуту, после чего блокировать попытки подключения для данного ip.

## Создание цепочки правил sshguard
# Максимум 2 новых запроса в минуту для одного ip
/sbin/iptables -N sshguard
# Вкл. лог по желанию
#/sbin/iptables -A sshguard -m state --state NEW -m recent --name SSH --rcheck --seconds 60 --hitcount 2 -j LOG --log-prefix "SSH-shield: "
/sbin/iptables -A sshguard -m state --state NEW -m recent --name SSH --update --seconds 60 --hitcount 2 -j DROP
/sbin/iptables -A sshguard -m state --state NEW -m recent --name SSH --set -j ACCEPT
/sbin/iptables -A sshguard -j ACCEPT
 
## Применение для трафика ssh цепочку sshguard
/sbin/iptables -A INPUT -p tcp --dport 22 -j sshguard

recent : позволяет создавать динамические списки адресов IP. Модуль поддерживает ряд опций

–name name : имя списка, с которым работает команда. По умолчанию для списка используется имя DEFAULT
–rcheck : опция будет проверять наличие адреса отправителя пакета в списке При отсутствии адреса в списке возвращается значение false.
–update : опция будет проверять наличие адреса отправителя пакета в списке. Если адрес присутствует, соответствующая запись обновляется. При отсутствии адреса в списке возвращается значение false.
–hitcount hits : счетчик, возвращает true при наличии адреса в списке, когда число принятых пакетов с адреса больше или равно заданного значения. Используется совместно с rcheck или update
–seconds seconds : определяет период (от момента занесения адреса в список), в течение которого адрес может находиться в списке
–set : служит для добавления адреса отправителя пакета в список. Если такой адрес уже есть в списке, запись будет обновлена
–remove : удалить адрес из списка. Если адрес не обнаружен вернет false.

Опции могут использоваться с инверсией (!)

Использование update, а не rcheck, заставляет выдержать интервал перед следующий попыткой подключения. Если не выдержав интервал сделать попытки подключения, то это приведет к тому, что придется выдержать снова 60 секунд с момента последний попытки подключения.

Динамическое открытие/закрытие ssh порта

Небольшое правило для iptables помогающее лишний раз не держать порты открытыми.

Пример для доступа к SSH, хотя как сами понимаете можно использовать как угодно.

Суть правила проста - для того чтобы открыть доступ к шеллу нужно сначала стукнуться на 1500 порт: telnet'ом например:

telnet myserver 1500 или через браузер:

http://192.168.0.100:1500 соответственно если стукнуть на 1499 - то порт закроется

iptables -N sshguard
# Если адрес в списке, то подключение разрешено
iptables -A sshguard -m state --state NEW -m recent --rcheck --name SSH -j ACCEPT
# Разрешить пакеты для уже установленных соединений
iptables -A sshguard -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A sshguard -j DROP
 
# Заносит адрес в список
#iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 1500 -j LOG --log-prefix "SSH-open: "
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 1500 -m recent --name SSH --set -j DROP
# Удаляет адрес из списка
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 1499 -m recent --name SSH --remove -j DROP
 
# Применение для трафика ssh цепочку sshguard
iptables -A INPUT -p tcp --dport 22 -j sshguard

Порт открывается только для ip с которого был открыт

Открытие порта ssh на заданное время

Еще один пример демонстрирует способ открытия порта ssh для определенного ip на заданное время.

## определяем цепочку для SSH трафика
iptables -N sshguard
iptables -F sshguard
# Разрешить подключение если ip есть в списке и последнее подключение осуществлялось не позднее 108000 секунд (30 часов) 
iptables -A sshguard -m state --state NEW -m recent --update --seconds 108000 --name SSH -j ACCEPT
# Разрешить пакеты для уже установленных соединений
iptables -A sshguard -m state --state ESTABLISHED,RELATED -j ACCEPT
# Заблокировать если нет в списке
iptables -A sshguard -j DROP
 
## Открытие SSH
iptables -A INPUT -m state --state NEW -p tcp --dport 222 -m recent --name SSH --set
## Фильтрация ssh трафика через цепочку sshguard
iptables -A INPUT -p tcp --dport 22 -j sshguard
Теперь, чтобы получить ssh доступ нужно сперва постучаться на порт 222, например так:

ssh user@server.name -p 222 после этого доступ для вашего ip на 22 порт будет разрешен на указанное время, при этом каждый новый коннект на ssh будет продлевать это время. Если вы не хотите продления времени то замените –update –seconds 108000 на –rcheck.

Порт открывается только для ip с которого был открыт Также можно узнать каким ip адресам разрешен доступ к ssh:

cat /proc/net/ipt_recent/SSH

Монтирование директорий с использованием SSH

Anonymous (anonymous@undisclosed.example.com) — 2015-09-30T08:37:55+00:00

ssh, mount

Монтирование директорий с использованием SSH

Установка

apt-get install sshfs - Debian
yum install sshfs - CentOS

Настройка sshfs

Монтирование удаленной директори

<konsole> sshfs -o allow_other username@hostname.ru:/home/usernamedir /home/somedir </konsole>

Параметры

-o
- allow_other - Предоставить доступ другим пользователям
- uid=500 - Предоставить доступ пользователю с id 500
- gid=500 - Предоставить доступ группе с id 500
- rw
- nosuid - Не выдовать suid
- nodev
- max_read=65536 - Максимальное чтение файлов

allow_other

Перед применением опции allow_other, ее необходимо сначала разрешить в /etc/fuse.conf

nano /etc/fuse.conf

# Allow non-root users to specify the 'allow_other' or 'allow_root'
# mount options.
#
user_allow_other

Автоматическое монтирование fstab

sudo nano /etc/fstab

sshfs#user@remote.host:/usernamedir /home/somedir fuse uid=1000,gid=1000 0 0

Размонтирование

<konsole> fusermount -u /home/somedir </konsole>

Настройка SSH тунеля

Anonymous (anonymous@undisclosed.example.com) — 2022-02-15T14:34:44+00:00

ssh, tunel, portmap

Настройка SSH тунеля

Строим тунель из сети в мир.

ssh

$ ssh -f -N -R 2222:10.11.12.13:22 username@99.88.77.66
$ ssh -p 345 -v -N -R 3307:10.11.12.13:3306 username@99.88.77.66

Если ssh запущен на нестандартном порту -p 345

$ ssh -p2222 localhost - мы попадём на хост 10.11.12.13
$ nc localhost -p 3307 - попадем на MySql хоста 10.11.12.13

Ключи

-f
-N
-v
-p - ssh Порт
-R позволяет удаленные обращения (remote) направлять на (local) сервер.

$ ssh -f -N -R 2080:10.11.12.14:80 username@99.88.77.66

Введя на хосте 99.88.77.66:

$ w3m -dump http://localhost:2080

Строим тунель из мира в сеть.

SSH

$ ssh -f -N -L 4080:192.168.0.10:80 nameuser@88.77.66.55
$ ssh -p 345 -v -N -L 3307:localhost:3306 username@99.88.77.66
$ ssh -L 8080:remote-host-which-wait-connect.com:443 username@99.88.77.66

Ключи

-f
-N не выполнять команды, поднимает только тунель
-L позволяет локальные обращения (Local) направлять на удалённый сервер.
-v
-p - ssh Порт

Аналогично, вводим на своём хосте:

$ w3m -dump http://localhost:4080

и получаем доступ к web-ресурсу узла 192.168.0.10, который находится за хостом 88.77.66.55.

SOCKS5

$ ssh -p 22 username@99.88.77.66 -v -N -D 3128

Статьи

http://habrahabr.ru/post/122445/