Acessando computadores remotos protegidos por NAT ou firewall com túnel SSH reverso direcionado por DNS dinâmico

chffelix

Com esse artigo pretendo mostrar uma maneira prática de acessar computadores protegidos por uma firewall ou NAT. Isso é muito útil nos casos em que não é possível - ou não se tem o controle para - efetuar um direcionamento de portas para a máquina desejada. É apresentado ainda um script que, utilizando DNS dinâmico, permite estabelecer essa conexão de qualquer lugar.

[ Hits: 63.684 ]

Por: Cláudio Henrique Fortes Félix em 21/11/2008 | Blog: http://www.helpo.com.br

6 0

Denuncie Favoritos Indicar Impressora

Configuração da máquina cliente

1. Na máquina cliente você deve criar o usuário tunnel - de preferência com shell direcionado para /bin/false, uma vez que não desejamos que alguém no servidor consiga abrir um shell interativo em sua máquina cliente:

# adduser tunnel

2. Crie um par de chaves para o usuário tunnel na máquina cliente. Assim, mesmo que não as utilizemos, o diretório /home/tunnel/.ssh será criado com as permissões corretas, para armazenarmos a chave pública do usuário tunnel do servidor:

# su tunnel
$ ssh-keygen -t dsa

3. Copie a chave pública do usuário tunnel do servidor (provavelmente armazenada em /home/tunnel/.ssh/id_dsa.pub) para o arquivo authorized_keys do usuário tunnel na máquina cliente. Isso pode ser feito de várias formas, dependendo do acesso que se tem ao servidor quando o sistema estiver sendo preparado. Se você está se metendo com SSH reverso provavelmente já está cansado de fazer isso, mas ai vão algumas dicas para os iniciantes. Caso se tenha conexão direta no momento da preparação, pode-se fazê-lo via SSH mesmo (a partir do cliente):

ssh tunnel@servidor cat /home/tunnel/.ssh/id_dsa.pub > /home/tunnel/.ssh/authorized_keys

ou, se não, copiando-se o arquivo id_dsa.pub via pen-drive (supondo que a mesma esteja montada em /mnt/memory):

cat /mnt/memory/id_dsa.pub > /home/tunnel/.ssh/authorized_keys

Página anterior Próxima página

Páginas do artigo

   1. Problema a ser resolvido
   2. Colocando a solução em prática
   3. Configuração do servidor
   4. Configuração da máquina cliente
   5. Conclusão

Outros artigos deste autor

Importando extratos do Banco do Brasil para o Kmymoney (gerenciador de finanças pessoais)

Configuração de teclado e dispositivos de entrada em geral a partir do HAL no Xorg 1.5 e superiores

Configuração do OpenOffice para o português do Brasil (pt-BR) a partir de uma instalação do BrOffice

Leitura recomendada

Instalando o KBFX e mudando a imagem do Menu K de uma vez por todas

IBQUOTA - Gerenciador de Impressão por Usuário

Teclas de atalho com Xbindkeys

Por que Gentoo é diferente?

Debian Lenny - DHCP3-server + Bind9 adicionando máquinas automaticamente

Comentários

[1] Comentário enviado por andre.vmatos em 21/11/2008 - 16:50h

Hhmmm. Muito boa a dica. Suponho que vc deve ter aprendido isso no artigo do GdH. Se sim, acredito que seria justo colocar os creditos. De qualquer forma, muito bom e muito completo mesmo seu artigo. Parabéns.

0 0

[2] Comentário enviado por walber em 21/11/2008 - 17:23h

Parabêns muito bom o artigo.

0 0

[3] Comentário enviado por leandrobs1984 em 21/11/2008 - 17:31h

Bom artigo,parabéns pela iniciativa..

0 0

[4] Comentário enviado por removido em 21/11/2008 - 18:40h

Rapaz, só o título merece 10!!!
Dei uma bela lida e só tenho a dizer:

excelente!!!!!!!!!!!

;-))

0 0

[5] Comentário enviado por chffelix em 21/11/2008 - 19:14h

Inicialmente, gostaria de agradecer o incentivo de todos. É um imenso prazer poder contribuir para essa comunidade maravilhosa, na qual a troca de conhecimento é feita de forma tão natural e visando o bem comum.

Gostaria apenas de responder o questionamento do nosso colega andre.vmatos, sobre os supostos créditos "devidos" ao GdH. Vocês devem ter reparado que coloquei três referências ao final do meu artigo. Pois bem, a primeira delas foi a principal, que eu realmente usei como base para minha solução em 2006, quando enfrentamos esse problema na prática. Reparem inclusive que meu script se parece com o dele, guardando minhas adaptações específicas. As referências seguintes servem apenas como outras fontes que os interessados podem pesquisar para comparar e realmente entender o que está sendo feito. Em nenhum momento sequer soube da existência desse artigo do GdH, tendo-o visto pela primeira vez agora com esse comentário.

Resumindo, não vou adicionar o crédito pois realmente não é devido. Apesar de desconfiar que o comentário não teve essa intenção, achei bastante deselegante a suposição, pois lança dúvidas sobre um trabalho autêntico e que comecei a escrever desde outubro de 2007, quando então se tinha muito menos material sobre o assunto.

Bom, é isso aí. Espero que a informação seja útil e obrigado a todos novamente pela atenção e incentivo.

Abraços,

Cláudio

1 0

[6] Comentário enviado por osirix em 21/11/2008 - 19:26h

legal o artigo ..^^

eu tenho uma situaçao no qual tenho um link com ip dinamico ..

e uso um script que roda a cada 1 hora e dedura o ip e status basico do meu servidor e manda pra uma conta ftp que tenho ..

que posso visualizar as informaçoes via html mesmo ..^^

e ai entro no meu servidor via ssh pela porta que configurei no meu sshd 1214 .. ^^

mais dica foi muito boa tbm ..^^

0 0

[7] Comentário enviado por robsonbraga em 22/11/2008 - 10:36h

Bacana, muito bom, o tema é bom e interessante, eu ja me aventurei por ai e com certeza sofri um pouco no começo.

Show

0 0

[8] Comentário enviado por wagner_guitar em 22/11/2008 - 11:05h

Desculpe a minha ignorancia mais na parte do comando >>
$ ssh -R 9000:localhost:22 usuario@cliente
o usuario (usuario@) é o nome do host ou o ip ,e sobre o cliente tenho a mesma duvida...

tipo tenho um host cujo nome do usuario seja Brasil@... , e o ip dele seja 200.200.200.200 onde ficaria o Brasil e onde ficaria o 200.200.200.200 no comando $ ssh -R 9000:localhost:22 usuario@cliente
?????
Desde ja agradeco....

0 0

[9] Comentário enviado por chffelix em 22/11/2008 - 12:11h

Olá Wagner, sem problema, estamos aqui pra aprender mesmo :)

Nesse comando que você está em dúvida, "usuario" é o nome do usuário existente na máquina cliente (aquela em que você vai estar logado), sendo este responsável apenas por "atender" o pedido de criação do tunel. Já "cliente" seria o hostname ou IP do cliente, novamente, da máquina onde você está. Esse comando aí deve ser executado no servidor, que é a máquina remota que você deseja acessar. Por isso tem todo esse esquema para esse comando ser executado automaticamente, pois você não vai estar lá pra fazer isso, certo?

Para adaptar o negócio ao seu exemplo, você deve considerar outra máquina. Por exemplo.. você está logado na máquina 200.200.200.200, mas você quer acessar a 100.100.100.100. Então, nessa última você rodaria:

ssh -R 9000:localhost:22 brasil@200.200.200.200

Uma vez estabelecida a conexão (a pessoa em 100.100.100.100 teria que saber a senha de brasil ou ter sua chave pública cadastrada para ele), você pode então se conectar ao servidor. Digamos que o usuário que você deseja acessar em 100.100.100.100 seja wagner. Assim, estando em 200.200.200.200, você deverá executar esse comando:

ssh -p9000 wagner@localhost

Pronto! Você vai cair no shell de 100.100.100.100, com usuário wagner.

Espero que tenha ficado mais claro!

[]s!
Claudio

1 0

[10] Comentário enviado por wagner_guitar em 22/11/2008 - 13:59h

Nao muito,desculpe
tipo tanto "usuario" quanto "cliente" vao ser da maquina remota??
mas eu nao tenho acesso nenhum a maquina remota.

o meu problema é o seguinte : sou cliente de uma rede wireless ( radio),gostaria de acessar o roteador da minha rede para abrir algumas portas, é que gostaria de baixar uns torrents, mas acho q as portas estao fechadas, ai so consigo baixar a 1.,3kbps no maximo. Mas nao sei o login do roteador . Gostaria de resolver isso , se vc souber como eu posso fazer isso gostaria q me ajudasse...

Agradeco a paciencia...

0 0

[11] Comentário enviado por chffelix em 22/11/2008 - 17:03h

Wagner, o que descrevi no artigo é apenas para o caso de querer acessar uma máquina remota que está numa rede sem acesso de fora pra dentro. Se você quer apenas se logar no roteador da sua rede e você não tem acesso a ele esse procedimento infelizmente não vai lhe ajudar. Para fazer o que você quer, vai ter que conseguir a senha do roteador e fazer um direcionamento de portas nele mesmo, do lado WAN para o IP da sua máquina no lado LAN.

Abraço,
Cláudio

0 0

[12] Comentário enviado por m4tri_x em 26/11/2008 - 10:15h

Parabéns pelo artigo.
Achei bem interessante.

:)

0 0

[13] Comentário enviado por fernando_peace em 01/07/2009 - 18:00h

blz , valew meu velho conseguir estabelecer acesso no meu serv.
......
......
Otimo artigo

0 0

[14] Comentário enviado por tindu em 11/09/2015 - 12:30h

Olá. Estou tentando realizar este procedimento com um cliente e Windows e não estou conseguindo. Será que poderia me ajudar?

Obrigado.

0 0