Otra opción es usar una opción de SSH llamada ProxyCommand
.
Voy a difinir ciertas cosas. Tu computadora personal es C1, la computadora intermedia es JH (de Jump Host) y C2 el equipo final.
Para esto no necesitas ser usuario root, lo que necesitas es:
- Tener un par de llaves en C1 para conectar C1 con JH
- Tener un par de llaves en JH para conectar JH con C2
- Tener un par de llaves en C2 para conectar C2 con JH
- (opcional) Crear usuarios especiales en JH y en C2 con los permisos que quieras darles. Esto es simplemente para hacer un poco menos enredado el asunto.
Dentro de C2
En el usuarioC2 haces un port forwarding en ambos sentidos.
$ ssh -f -N -L <puerto C2>:<ip de JH>:22 -R <puerto JH>:127.0.0.1:22 usuarioJH@<ip de JH>
Donde
- puerto C2: es un puerto por C2 donde se va recibir el tráfico desde JH.
- ip de JH: es la ip del servidor intermedio.
- puerto JH: es el puerto desde el cual JH se puede conectar a C2.
Recuerda que por lo general, si no tienes permisos de root al sistema, no puedes elegir puertos menores a 1024.
Las banderas de -f
y -N
permiten que el comando en C2 se corra en background y que no ejecute comandos remotos.
La opción -L
permite que el tráfico del puerto 22 de JH se redirija al puerto C2
de C2. La opción -R
permite que el tráfico del puerto 22 de C2 se redirija al puerto JH
.
Dentro de JH
Después de lo ejecutado en C2, puedes entrar a primeramente a JH y correr algo como ssh -p <puerto JH> usuarioC2@127.0.0.1
y entrar a C2 desde JH.
Pero eso es sólo para verificar que la conexión esté bien hecha, todavía falta un paso.
Dentro de C1
Con tu ~/.ssh/config
configurado con las especificaciones.
Host C2
User usuarioC2
ProxyCommand ssh -W 127.0.0.1:<puerto JH> usuarioJH@<ip de JH>
Ya podrías entrar a tu servidor C2 desde C1 con:
$ ssh C2
De esta manera incluso podrías hacer port forwarding, scp
o sftp
desde esos servidores.
$ ssh -N -f -L 3306:127.0.0.1:3306 C2
$ scp C2:~/archivo_en_c2 archivo_de_c2
$ sftp -P <puerto JH> usuarioC2@127.0.0.1
Recomendación
Como el comando en C2 puede entrar en conflicto alguna vez o alguien podría apagar C2, es útil tener un script que ahorre correr el proceso dentro de C2.
#!/bin/bash
check_and_create_tunnel() {
ssh "$JH_USER@127.0.0.1" -p $C2_PORT "netstat -tpln 2> /dev/null | grep $JH_PORT" &> /dev/null
if [[ "$?" != 0 ]]
then
ssh_process="$(ps -fea | egrep "ssh.*$C2_PORT" | head -n -1 | awk '{print $2}' )"
[[ -n "$ssh_process" ]] && echo "$ssh_process" | xargs kill &> /dev/null
#El famoso tunel.
ssh -f -N -R "$JH_PORT:127.0.0.1:22" -L "$C2_PORT:$JH_IP:22" "$JH_USER@$JH_IP" &> /dev/null
fi
}
check_and_create_tunnel
Que básicamente revisa si puede hacer un netstat
(puede ser otro comando) en JH y si no puede, entonces busca los procesos que involucren al puerto y les envía un sigterm, después hace el tunel.
Como trivialidad, revisa si JH tiene instalado netstat
.
Corre este script como un cronjob o al iniciar C2.
Algo que no recuerdo bien que pueda suceder es que tengas problemas cuando ssh te pregunte si deseas conectarte al Host verificado, eso puede interferir con la conexión la primera vez. En caso de que eso pase (lo cual no recuerdo bien) hay varias opciones que hago. Una es conectarme de C1 a JH aceptando todas las opciones y luego conectarme de JH a C2 aceptando todas las opciones. Otra es poniendo lo siguiente en el archivo de configuración de usuarioJH y usuarioC2
Host *
StrictHostKeyChecking no
Nota Final
Todo esto lo escribí presuponiendo que.
- La llave pública de usuarioC1 está en el archivo
~/.ssh/authorized_keys
de usuarioJH
- La llave pública de usuarioJH está en el archivo
~/.ssh/authorized_keys
de usuarioC2
- La llave pública de usuarioC2 está en el archivo
~/.ssh/authorized_keys
de usuarioJH
Donde los ninguno de los usuarios es necesariamente root.