Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[RESOLU] reverse SSH configuration

thierryR

Bonjour.

J'établis une 1ere connexion

ssh -XC thierry@sauvegarde -p1957
Linux raspi-thierry 4.19.75+ #1270 Tue Sep 24 18:38:54 BST 2019 armv6l

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
Last login: Fri Feb 21 23:41:52 2020 from 37.170.23.104

Jusque là tout va bien.

J'établis le tunnel qui ne fonctionne pas en effet.

sudo ssh -R \*:1922:localhost:22 revssh@sauvegarde -p1957
revssh@sauvegarde's password:
Permission denied, please try again.
revssh@sauvegarde's password:
^c

En même temps ma connexion précédente disjoncte

Connection to sauvegarde closed by remote host.
Connection to sauvegarde closed.

Ca casse l'entrée sur la box fibre. On ne peut plus se reconnecter:

sudo ssh  revssh@sauvegarde -p1957
ssh: connect to host sauvegarde port 1957: Connection refused
ssh -XC thierry@sauvegarde -p1957
ssh: connect to host sauvegarde port 1957: Connection refused

oga83

@thierryR

Ton utilisateur revssh n'a vraisemblablement pas la permission de se connecter à "sauvegarde" en ssh puisque tu n'arrives pas à ouvrir de session (alors que ça marche avec l'utilisateur thierry).

Essaye simplement un "ssh revssh@sauvegarde".

Si ça ne marche pas :

- Soit revssh est en nologin ou rssh dans /etc/passwd (ce qu'il est conseillé de faire au final). Dans ce cas, il faut utiliser l'option "-n" dans la commande ssh. Sinon, ssh essaye de lancer un shell mais comme il n'a pas les permissions, cela échoue.

- Soit tu as une restriction AllowUsers dans sshd_config (par défaut, tous les utilisateurs peuvent se connecter en ssh).

- Vérifie si /var/log/auth.log donne plus d'info

Ensuite, si la connexion ssh avec revssh fonctionne mais que le reverse-tunnel ne marche toujours pas, il faut vérifier que revssh a bien les permissions pour forwarder les ports dans un tunnel.

Pour cela, je rajouterai la permission de manière explicite à ton utilisateur revssh dans le sshd_config de "sauvegarde" :

Match user revssh
  AllowTcpForwarding yes

Quand le tunnel marchera correctement, pour plus de sécurité, tu pourras également enfermer revssh dans une bulle chroot en ajoutant une commande ChrootDirectory dans la section "Match user" ci-dessus

thierryR

Voici quelques résultats.

Le user revssh est paramétré en rssh comme dans l'exemple du tuto.

Dans paswwd:

revssh:x:1003:1003::/home/revssh:/bin/rssh

J'ai donc essayé avec l'option -n

ssh -n revssh@sauvegarde -p1957
Pseudo-terminal will not be allocated because stdin is not a terminal.
revssh@sauvegarde's password:
Permission denied, please try again.
revssh@sauvegarde's password:

Il n'y a rien dans les logs car la connexion n'est pas établie, mais la console est explicite à elle seule.

Sur le raspi-thierry le sshd_config mentionne

#AllowAgentForwarding yes
AllowTcpForwarding yes
GatewayPorts yes
X11Forwarding yes
AllowUsers thierry isabelle revssh

Ne faudrait-il redonné le bash à rssh ou directement utiliser le user "isabelle" pour faire le rssh ?

oga83

thierryR a dit :
ssh -n revssh@sauvegarde -p1957
Pseudo-terminal will not be allocated because stdin is not a terminal.
revssh@sauvegarde's password:
Permission denied, please try again.

Tu es sûr du mot de passe ? Essaye de le réinitialiser et de le taper en clair dans la console pour vérifier qu'il n'y a pas de pb de clavier.

Sur raspi-thierry, vérifie que ssh fonctionne bien avec l'utilisateur revssh : ssh -n -vvv revssh@127.0.0.1

thierryR a dit :

Il n'y a rien dans les logs car la connexion n'est pas établie, mais la console est explicite à elle seule.

La connexion est établie puisqu'il te demande le password mais elle échoue. Tu devrais donc avoir quelque chose dans auth.log

Es-tu sûr que tu arrives bien sur raspi-thierry ? Pour définir le nom "sauvegarde", tu as utilisé l'adresse publique de ta box fibre dans /etc/host de la machine sur laquelle tu tentes ssh ?

Ajoute -vvv la commande ssh pour avoir plus de détail. Si tu postes le résultat, enlève les infos sensibles comme l'ip publique de sauvegarde.

thierryR a dit :

Ne faudrait-il redonné le bash à rssh ou directement utiliser le user "isabelle" pour faire le rssh ?

Tu peux essayer ça temporairement, mais au final, je te conseille d'utiliser rssh.

thierryR

Je fais des essais:

J'ai remis le bash à rssh dans passwd

revssh:x:1003:1003::/home/revssh:/bin/bash

Un 1er essai nous montre que la connexion ne se fait pas, malgré le changement dans passwd:

sudo ssh -n revssh@sauvegarde -p1957
Pseudo-terminal will not be allocated because stdin is not a terminal.
Linux raspi-thierry 4.19.75+ #1270 Tue Sep 24 18:38:54 BST 2019 armv6l

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
thierry@raspi-isabelle:~ $

Alors j'ai retiré l'option -n

 sudo ssh revssh@sauvegarde -p1957
Linux raspi-thierry 4.19.75+ #1270 Tue Sep 24 18:38:54 BST 2019 armv6l

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
revssh@raspi-thierry:~ $

Passage réussi. La clé a fonctionné. Tout est OK dans la liaison.

J'ai déconnecté le client puis j'ai réessayé avec l'option -n

thierry@raspi-isabelle:~ $ sudo ssh -n revssh@sauvegarde -p1957
Pseudo-terminal will not be allocated because stdin is not a terminal.
Linux raspi-thierry 4.19.75+ #1270 Tue Sep 24 18:38:54 BST 2019 armv6l

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
thierry@raspi-isabelle:~ $

J'ai encore le problème avec stdin ??? Il y a bien un souci de ce côté là, mais je ne suis pas assez compétent.

Autre essai:

sudo ssh -R \*:1922:192.168.8.56:22 revssh@sauvegarde -p1957
Linux raspi-thierry 4.19.75+ #1270 Tue Sep 24 18:38:54 BST 2019 armv6l

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
Last login: Sun Feb 23 18:40:34 2020 from 37.167.27.184
revssh@raspi-thierry:~ $

Passage réussi. Je test dans l'autre sens c'est à dire depuis raspi-thierry

ssh -p 1922 localhost
Linux raspi-isabelle 4.19.93+ #1290 Fri Jan 10 16:34:37 GMT 2020 armv6l

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
Last login: Sun Feb 23 19:10:46 2020 from 192.168.8.56
isabelle@raspi-isabelle:

Le REVERSE FONCTIONNE.

J'essaie de remettre le rssh à revssh dans passwd

sudo ssh -R \*:1922:192.168.8.56:22 revssh@sauvegarde -p1957
revssh@sauvegarde's password:
Permission denied, please try again.
revssh@sauvegarde's password:
^c

Impossible de créer la connexion. Je ne suis plus conforme au tuto don je me suis inspiré. Là, je ne pige plus comment le tuto a été réalisé. Mais qu'est ce qu'il me manque ?

thierryR

Arf; je trouve un autre problème. Dans le crontab il y a cette ligne

@reboot    root    export AUTOSSH_POLL=30; /usr/lib/autossh/autossh -M 20000 -C -N -f -n -T -R \*:1922:192.168.8.56:22 revssh@sauvegarde -p1957

thierry@raspi-isabelle:~ $ sudo export AUTOSSH_POLL=30;
sudo: export : commande introuvable

Je pense que ça expliquerait pourquoi la commande ne démarre pas au boot.

thierry@raspi-isabelle:~ $ sudo apt-get install export
Lecture des listes de paquets... Fait
Construction de l'arbre des dépendances      
Lecture des informations d'état... Fait
E: Impossible de trouver le paquet export

Puis il y a un truc que je ne comprends pas. Faut-il ouvrir un port 20000 ? et où ?

oga83

@thierryR

Arf; je trouve un autre problème. Dans le crontab il y a cette ligne
@reboot    root    export AUTOSSH_POLL=30; /usr/lib/autossh/autossh -M 20000 -C -N -f -n -T -R \*:1922:192.168.8.56:22 revssh@sauvegarde -p1957

Enlève 'root' qui n'a rien à faire sur cette ligne.

'export' est une commande buitin du shell.

Mais ce n'est pas ça qui pose un problème puisque tu n'arrives pas à effectuer la connexion en manuel...

Pour le port 20000, un "man autossh" te donnera les explications sur l'option "-M". Et non, tu n'as pas à ouvrir ce port sur ton routeur.

Je ne suis plus conforme au tuto don je me suis inspiré. Là, je ne pige plus comment le tuto a été réalisé.

Pourquoi "plus conforme" ? Parce que tu as enlevé le "-n" ?

Il est logique d'utiliser "-n" avec rssh et de ne pas l'utiliser avec un shell.

Ta configuration rssh par défaut n'est peut-être pas identique à celle du tuto. En lisant tes derniers messages (ça fonctionne sans rssh), il est clair qu'il y a un problème de ce côté.

Un tuto comme celui-ci est rarement transposable sans modifications car tu n'as pas forcément la même distro, le même plan d'adressage, pas les mêmes ports ouverts, la même config rssh, ...

Ce tuto expose la méthode globale : faire du reverse-ssh pour contourner la limitation sur les connexions entrantes des réseaux privés en 4g. A chacun de le personnaliser.

Tu as fais le plus dur et tu devrais y arriver :)

oga83 a dit :
Ajoute -vvv la commande ssh pour avoir plus de détail. Si tu postes le résultat, enlève les infos sensibles comme l'ip publique de sauvegarde.

Je n'ai rien vu à ce sujet. Tu as essayé de voir si tu avais plus de détails avec cette option ?

thierryR

Je corrige un peu: La connexion se fait bien en manuel sous condition; mais pas en automatique. Je me suis peut-être mal exprimé. La ligne du crontab ne fonctionne pas à cause de "export".

Par rapport au tuto:

1 ) Si sur le serveur, je change les paramètres de revssh pour en faire un user comme les autres: Possibilité de le logguer... alors:

sudo autossh -M 20000 -C -N -f  -T -R \*:1922:192.168.8.56:22 revssh@sauvegarde -p1957

fonctionne et le reverse aussi.

2) Effectivement j'ai du enlever l'interrupteur -n pour la raison que tu viens de m'expliquer. (Ça y est j'ai enfin compris)

3) Le "root" dans le crontab et repris directement sur le tuto.

Ces 2 premières raisons proviennent peut-être du fait que l'essai manuel se fait en console bash. Si on ajoute une méthode "dépannage, mise au point" ce serait pas mal de l'indiquer.

Je note qu'il me faut faire fonctionner la commande "export" pour avoir une commande au boot convenable. De ce fait je pourrais remettre en place les commandes du tuto (passwd et -n).

Dés que ça marche, je reviens faire un rapport ici puis j’essaierai de mettre en place un "client reverse" en sftp sur partition chrootée.

thierryR

En conclusion, je peux dire que c'est extraordinaire. On arrive à se reconnecter comme avant mais avec une box 4G La pire difficulté est résolue par le reverse ssh. Effectivement j'ai des différences avec le tuto donné en exemple, mais il aide beaucoup. Merci à oga83 et dupratpierre11.

ludovick

le sujet est-il résolu ?

thierryR

Oui

« Page précédente