3

Contexto

Necesito conectarme desde un host (mi máquina) a un server2 al cual sólo puedo conectarme mediante un server1.

El server1 tiene un único usuario (user1) al que nos conectamos varias personas y desde este ya me conecto al usuario que me ha sido asignado en server2 (user2).

Para poder automatizar tareas querría utilizar un script, pero claro, para conectarme con seguridad quiero utilizar claves públicas/privadas y así ahorrarme introducir contraseñas. (Por lo visto utilizando 'expect' se puede obtener la contraseña).

Desde host me conecto a user1@server1 con clave pública/privada y despues mediante contraseña a user2@server2:

user@host$> ssh user1@server1

user1@server1$> ssh user2@server2

user1@server1$> pass_user2

El problema

¿Es posible hacer user1@server1$> ssh user2@server2 (con clave pública/privada) desde un usuario user1 en server1, el cual es el mismo usuario para varias personas, sin comprometer así la seguridad de user2?

Me preocupa que haciéndolo así cualquier otra persona que se conecte a user1@server1 pueda acceder a user2@server2 simplemente ejecutando user1@server1$> ssh user2@server2

Sé que existe passphrase para las claves públicas/privadas pero me preocupa que esté en el mismo caso que que con una contraseña. Y a la hora de hacer el script tendría que pasar la contraseña o passphrase de forma insegura.

user1 es compartido por varias personas. (En server1)

user2 es exclusivamente para mí. (En server2)

Especificaciones

Trabajo con Linux.

Los servidores no son míos.

No tengo acceso root, sólo a los usuarios que me han asignado (user1 y user2).

Accedo a ambos mediante ssh.

2 respuestas 2

3

La solución que he encontrado es:

  • primero copiar la clave pública del host a ambos servidores en ~/.ssh/authorized_keys.

  • y despues usar el comando ssh -J user1@server1 user2@server2.

La opción -J, disponible a partir de la versión 7.3 de openssh, permite conectarse a un server2 utilizando un server1 como nodo intermedio.

1

Otra opción es usar una opción de SSH llamada ProxyCommand.

Voy a difinir ciertas cosas. Tu computadora personal es C1, la computadora intermedia es JH (de Jump Host) y C2 el equipo final. Para esto no necesitas ser usuario root, lo que necesitas es:

  1. Tener un par de llaves en C1 para conectar C1 con JH
  2. Tener un par de llaves en JH para conectar JH con C2
  3. Tener un par de llaves en C2 para conectar C2 con JH
  4. (opcional) Crear usuarios especiales en JH y en C2 con los permisos que quieras darles. Esto es simplemente para hacer un poco menos enredado el asunto.

Dentro de C2

En el usuarioC2 haces un port forwarding en ambos sentidos.

$ ssh -f -N -L <puerto C2>:<ip de JH>:22 -R <puerto JH>:127.0.0.1:22 usuarioJH@<ip de JH>

Donde

  • puerto C2: es un puerto por C2 donde se va recibir el tráfico desde JH.
  • ip de JH: es la ip del servidor intermedio.
  • puerto JH: es el puerto desde el cual JH se puede conectar a C2.

Recuerda que por lo general, si no tienes permisos de root al sistema, no puedes elegir puertos menores a 1024.

Las banderas de -f y -N permiten que el comando en C2 se corra en background y que no ejecute comandos remotos.

La opción -L permite que el tráfico del puerto 22 de JH se redirija al puerto C2 de C2. La opción -R permite que el tráfico del puerto 22 de C2 se redirija al puerto JH.

Dentro de JH

Después de lo ejecutado en C2, puedes entrar a primeramente a JH y correr algo como ssh -p <puerto JH> usuarioC2@127.0.0.1 y entrar a C2 desde JH.

Pero eso es sólo para verificar que la conexión esté bien hecha, todavía falta un paso.

Dentro de C1

Con tu ~/.ssh/config configurado con las especificaciones.

Host C2
  User usuarioC2
  ProxyCommand ssh -W 127.0.0.1:<puerto JH> usuarioJH@<ip de JH>

Ya podrías entrar a tu servidor C2 desde C1 con:

$ ssh C2

De esta manera incluso podrías hacer port forwarding, scp o sftp desde esos servidores.

$ ssh -N -f -L 3306:127.0.0.1:3306 C2
$ scp C2:~/archivo_en_c2 archivo_de_c2
$ sftp -P <puerto JH> usuarioC2@127.0.0.1

Recomendación

Como el comando en C2 puede entrar en conflicto alguna vez o alguien podría apagar C2, es útil tener un script que ahorre correr el proceso dentro de C2.

#!/bin/bash

check_and_create_tunnel() {

    ssh "$JH_USER@127.0.0.1" -p $C2_PORT "netstat -tpln 2> /dev/null | grep $JH_PORT" &> /dev/null
    if [[ "$?" != 0 ]]
    then
        ssh_process="$(ps -fea | egrep "ssh.*$C2_PORT" | head -n -1 | awk '{print $2}' )"
        [[ -n "$ssh_process" ]] && echo "$ssh_process" | xargs kill &> /dev/null
        #El famoso tunel.
        ssh -f -N -R "$JH_PORT:127.0.0.1:22" -L "$C2_PORT:$JH_IP:22" "$JH_USER@$JH_IP" &> /dev/null
    fi
}

check_and_create_tunnel

Que básicamente revisa si puede hacer un netstat (puede ser otro comando) en JH y si no puede, entonces busca los procesos que involucren al puerto y les envía un sigterm, después hace el tunel.

Como trivialidad, revisa si JH tiene instalado netstat.

Corre este script como un cronjob o al iniciar C2.

Algo que no recuerdo bien que pueda suceder es que tengas problemas cuando ssh te pregunte si deseas conectarte al Host verificado, eso puede interferir con la conexión la primera vez. En caso de que eso pase (lo cual no recuerdo bien) hay varias opciones que hago. Una es conectarme de C1 a JH aceptando todas las opciones y luego conectarme de JH a C2 aceptando todas las opciones. Otra es poniendo lo siguiente en el archivo de configuración de usuarioJH y usuarioC2

Host *
  StrictHostKeyChecking no

Nota Final

Todo esto lo escribí presuponiendo que.

  1. La llave pública de usuarioC1 está en el archivo ~/.ssh/authorized_keys de usuarioJH
  2. La llave pública de usuarioJH está en el archivo ~/.ssh/authorized_keys de usuarioC2
  3. La llave pública de usuarioC2 está en el archivo ~/.ssh/authorized_keys de usuarioJH

Donde los ninguno de los usuarios es necesariamente root.

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.