Comment puis-je SSH à la machine A via B en une seule commande?

Je souhaite accéder à un ordinateur, disons à la machine A, située dans le réseau de mon université. Cependant, cet ordinateur n’est accessible que via le réseau interne de l’université, je ne peux donc pas utiliser SSH directement sur cet ordinateur depuis chez moi.

Voici ce que je fais maintenant:

1. Connectez-vous à une autre machine universitaire, disons la machine B

   (Cette machine B est accessible via SSH à partir de mon ordinateur personnel.)

2. Utilisez SSH sur B pour vous connecter à A.

Y a-t-il un moyen de le faire plus rapidement? Utiliser une seule commande ssh.

Oui, en utilisant ProxyCommanddans votre configuration SSH.

Créez un fichier de configuration SSH dans votre répertoire de base (à moins que vous ne souhaitiez configurer ce système dans son intégralité) ~/.ssh/config:

Host unibroker          # Machine B definition (the broker)
Hostname 12.34.45.56    # Change this IP address to the address of the broker
User myusername         # Change this default user accordingly 
                        # (`user@unibroker` can overwrite it)

Host internalmachine    # Machine A definition (the target host)
ProxyCommand ssh -q unibroker nc -q0 hostname.or.IP.address.internal.machine 22

Vous pouvez maintenant accéder directement à la machine A en utilisant

ssh user@internalmachine

Notez également que vous disposez désormais d'un nom de cible d'hôte SSH unique, que vous pouvez également utiliser dans d'autres applications. Par exemple:

• SCP pour copier des fichiers.

  scp somefile user@internalmachine:~/
  

• Dans vos applications graphiques:

  utiliser sftp://user@internalmachine/comme emplacement pour naviguer sur la machine.

  Basé sur KDE (Dolphin): utilisation fish://user@internalmachine/

Remarques

Modifiez hostname.or.IP.address.internal.machineet le port ( 22) sur la machine que vous souhaitez atteindre, comme si vous le vouliez unibroker.

Selon les versions de netcat sur l'hôte unibroker, l' -q0option doit être omise. En ce qui concerne l'authentification; vous configurez essentiellement deux connexions SSH à partir de votre poste de travail. Cela signifie que l'hôte unibroker et l'hôte internalmachine sont vérifiés / authentifiés l'un après l'autre (pour la vérification de la paire de clés / mot de passe et la clé de l'hôte).

Explication

Cette approche de l'utilisation de ProxyCommandet 'netcat' n'est qu'un moyen de le faire. J'aime cela, car mon client SSH parle directement à la machine cible pour que je puisse vérifier la clé de l'hôte auprès de mon client et que je puisse utiliser l'authentification de ma clé publique sans utiliser une autre clé sur le courtier.

Chacun Hostdéfinit le début d'une nouvelle section hôte. Hostnameest le nom d'hôte ou l'adresse IP cible de cet hôte. Userest ce que vous fourniriez en tant que partie utilisateur ssh user@hostname.

ProxyCommandsera utilisé comme tuyau vers la machine cible. En utilisant SSH sur la première machine et en configurant directement un simple 'netcat' ( nc) vers la cible à partir de là, il ne s'agit en fait que d'un texte en clair transmis à la machine interne par le courtier entre ceux-ci. Les -qoptions sont de désactiver toute sortie (juste une préférence personnelle).

Assurez-vous que Netcat est installé sur le courtier (généralement disponible par défaut sous Ubuntu) - netcat-openbsd ou netcat-traditional .

Notez que vous utilisez toujours SSH avec le cryptage deux fois ici. Alors que le canal netcat est en texte clair, votre client SSH sur votre PC configurera un autre canal crypté avec la machine cible finale.

Hop d'un coup

Une alternative évidente à l'approche ProxyCommand que j'ai fournie dans mon autre réponse serait de "sauter" directement sur la machine cible:

ssh -t user@machineB ssh user@machineA

Notez le -tsur la première sshcommande. Sans cela, il échouera:

Pseudo-terminal will not be allocated because stdin is not a terminal.
ssh_askpass: exec(/usr/bin/ssh-askpass): No such file or directory
Permission denied, please try again.
[...]

Il va obliger à attribuer un vrai TTY

L'inconvénient est que toute la configuration, la vérification et l'authentification ont maintenant lieu sur la machine B, ce que je n'aime pas du tout dans ma situation pour des raisons de sécurité. J'aime mon clavier sur mon propre PC et authentifie et vérifie la machine cible finale à partir de mon propre PC. En outre, vous ne pouvez utiliser le shell interactif que pour SSH, ce qui ne traitera pas d'autres outils tels que SCP ou l'utilisation de votre gestionnaire de fichiers GUI.

Pour toutes les raisons susmentionnées, je recommande fortement l’approche ProxyCommand , mais pour une connexion rapide, cela fonctionne bien.

Vous pouvez utiliser l' -Joption de ligne de commande:

ssh -J user@machineB user@machineA

De man ssh:

-J [user@]host[:port]
     Connect to the target host by first making a ssh connection to
     the jump host and then establishing a TCP forwarding to the
     ultimate destination from there.  Multiple jump hops may be
     specified separated by comma characters.  This is a shortcut to
     specify a ProxyJump configuration directive.

Il a été introduit dans OpenSSH version 7.3 (publié en août 2016). Il est disponible dans Ubuntu 16.10 et versions ultérieures.

Essayez d'utiliser

Host <visible hostname alias>
        Controlmaster auto
        User <user>
        hostname <visible hostname>
        port <port>
        IdentityFile ~/.ssh/<id file>

Host <private LAN hostname alias>
     ProxyCommand ssh -q -W <private LAN hostname>:<private LAN port> <visible hostname alias>

dans votre ~ / .ssh / config et faites tout en un avec les touches uniquement sur votre ordinateur.

C'est une suggestion très utile. Après des heures de travail, j'ai trouvé cette note et confirmé que cela fonctionnait exactement comme indiqué. Pour vous connecter via MachineA à MachineB, à partir de la machine distante:

par exemple: [xuser @ machineC ~] ssh -t MachineA ssh MachineB

Le "-t" est critique, ssh échoue s'il n'est pas présent. Vous serez invité à deux reprises, un mot de passe sur MachineA, puis une seconde fois sur MachineB. Notez également que cela suppose que l'utilisateur "xuser" soit défini sur les trois ordinateurs. Sinon, utilisez simplement la syntaxe ssh: "yuser @ MachineA ...". Notez également que vous pouvez utiliser des adresses IP brutes quadruples en pointillés, si vous le souhaitez. Ceci est utile si vous vous connectez à un réseau local privé qui utilise des adresses IP non exposées au monde - c'est-à-dire. pas dans votre fichier hôte local, ni dans aucun DNS. Pour obtenir un fichier de MachineB, vers une machine distante, vous pouvez passer de MachineB à MachineA, puis de MachineA vers une machineC distante. (Par exemple, la machineC distante peut envoyer un ping à MachineA, mais pas à MachineB.) Avertissement: j'ai testé avec Fedora et Windows XP, MachineA est un XP-Box exécutant ICS (Internet Connection Sharing), tandis que MachineB et machineC distante sont des boîtes Fedora-Linux. Cette suggestion a résolu un problème clé pour moi - c'est-à-dire. accès à distance restreint et surveillé à mon réseau distant. Notez également que lorsque vous vous "déconnectez" de MachineB, vous devriez voir deux "Connexion à xxx.xxx.xxx.xxx fermée". messages.

ProxyCommand est une solution propre pour un cas où vous autorisez l'accès au shell dans les deux systèmes. Nous voulions donner aux utilisateurs distants l'accès à une machine interne (A) par le biais d'un courtier (B), mais sans lui permettre d'accéder au shell à B pour améliorer la sécurité. Cela a fonctionné:

Remplacer le shell de connexion

Remplacez le shell de connexion (utilisez chsh) extusersur le courtier par le script suivant (stocké dans un fichier):

#!/bin/sh   # this is essential to avoid Exec format error
ssh internaluser@A

Si aucun identifiant de mot de passe n'a été défini dans extuser @ B pour l'utilisateur distant et dans internaluser @ A pour extuser @ B, l'exécution de la commande suivante mènera directement l'utilisateur distant à A

ssh extuser@B

Conseil : Créez la configuration nécessaire avec mot_de_passe_auto-autorisée, authorised_keys dans extuser @ B avant de passer au shell de connexion personnalisé. Après la modification, étant donné que ce compte est inaccessible à tous via un shell, seul un sudoer @ B peut modifier le fichier allowed_keys en le modifiant directement.

sudo vi ~extuser/.ssh/authorized_keys
sudo touch ~extuser/.hushlogin

La dernière ligne est de supprimer l'affichage de la bannière de connexion de B, afin que l'utilisateur distant ait un accès transparent à A.

Vous voulez dire que vous avez besoin de plusieurs cavaliers :)

Récemment, j'ai rencontré ce problème avec jumper1 jumper2 et ma dernière machine, comme pour mon sol

script local:

#!/bin/bash
sshpass -p jumper1Passwd ssh -t jumper1@jumper1IP ./Y00.sh

puis sur le 1er cavalier (qui est mon routeur), j'ai placé un script nommé Y00.sh:

ssh -tt jumper2@jumper2 -i ~/.ssh/id_rsa sshpass -p finalPassWord ssh -tt final@final

Vous pouvez les remplacer par votre adresse IP et vos mots de passe, bonne chance!