Administració remota: SSH

SSH - SSH (Secure SHell) És un protocol per a la transferència d'arxius i gestió de maquines remotes amb connexió segura. - En base a aquest protocol hi han diferents programes per a la realitzar aquest tipus de tasques. - El que anem a estudiar és OpenSSH

OpenSSH $ sudo apt-get install ssh - Instal·la un paquet buit que fa referència a openssh- server i openssh-client - Es creen unes claus SSH2 RSA i DSA per identificar el servidor.

OpenSSH $ sudo apt-get install ssh - Instal·la un paquet buit que fa referència a openssh- server i openssh-client (en ubuntu el client sol estar instal·lat) - Es creen unes claus SSH2 RSA i DSA per identificar el servidor. Les claus es guarden a la carpeta /etc/ssh $ cd /etc/ssh $ ls *key* ssh_host_dsa_key ssh_host_dsa_key.pub ssh_host_rsa_key ssh_host_rsa_key.pub

OpenSSH - Per defecte, té reservat el port 22 TCP i UPD, encara que el habitual és el TCP. - El fitxer de configuració del servidor és /etc/ssh/sshd_config

OpenSSH - Per defecte, té reservat el port 22 TCP i UPD, encara que el habitual és el TCP. - El fitxer de configuració del servidor és /etc/ssh/sshd_config $ man sshd_config

Connexió amb SSH - La sintaxi de SSH segueix un esquema similar al del correu electrònic: usuari@nom_maquina_remota - Els següents són exemples de connexió amb SSH a una màquina remota: lliurex@simarro:~$ ssh lliurex@www.upv.edu lliurex@simarro:~$ ssh lliurex@192.168.1.1 lliurex@simarro:~$ ssh 192.168.1.1

Connexió amb SSH - De vegades necessitem que quan fem una connexió remota tenim que carregar aplicacions amb entorn gràfic i ho faríem: $ ssh -X [usuari de la maquina de destí]@[IP o Hostmane de la maquina de destí]

Mecanisme de Connexió - Mitjançant l'ús dels fitxers /etc/hosts.equiv o /etc/ssh/shosts.equiv de la màquina remota. - Igual que l'anterior però a nivell d'usuari, és a dir, amb els fitxers $HOME/.ssh/rhosts i $HOME/.ssh/shosts - Utilitzant autenticació basada en RSA. RSA es basa en criptografia de clau pública. El fitxer $HOME/.ssh/authorized_keys del servidor remot ha de contenir la clau pública del client.

Mecanisme de Connexió El procés de connexió és el següent: - El client envia una petició de connexió al servidor juntament amb la clau pública. - El servidor comprova si la clau existeix al fitxer $HOME/.ssh/authorized_keys. - Si el servidor identifica la clau pública com a vàlida, envia un "repte" al client. Aquest repte consisteix normalment en un número aleatori encriptat mitjançant la clau pública de l'usuari. - El client ha de ser capaç de desencriptar mitjançant la clau privada el número aleatori. D'aquesta forma el servidor autentifica a l'usuari que es connecta.

Mecanisme de Connexió - La comanda ssh-keygen s'encarrega de la creació dels parells de claus pública/privada. Per defecte, els fitxers depenent del protocol escollit: $HOME/.ssh/identity (clau privada) i $HOME/.ssh/identity.pub (clau pública) $HOME/.ssh/id_dsa (clau privada) i $HOME/.ssh/id_dsa.pub (clau pública) si el protocol escollit es DSA. $HOME/.ssh/id_rsa (clau privada) i $HOME/.ssh/id_rsa.pub (clau pública) si el protocol escollit es RSA. - Les comandes exactes a utilitzar per generar les claus en cadascun dels casos anteriors són: ssh-keygen ssh- keygen -t dsa ssh-keygen -t rsa - El nom dels fitxers per defecte es pot canviar utilitzant el paràmetre -f. Durant la creació de la clau se'ns preguntarà per la possibilitat de protegir l'ús de la clau amb contrasenya. Si la nostra intenció és automatitzar tasques podem anular aquest pas si no introduïm cap contrasenya (Enter).

Connexió sense contrasenya $ ssh-keygen -t rsa -b 2048 - Els arxius són .ssh/id_rsa i .ssh/id_rsa.pub El id_rsa.pub cal afegir-lo al .ssh/authorized_keys del servidor Com que al generar les claus no hem ficat contrasenya, es connectarà directament. Si no, ens demana la de desencriptar la clau privada. Per a eliminar un client ssh-keygen -R IP_client

Connexió sense contrasenya Però crear la clau privada sense contrasenya no és molt recomanable. Cal fer que el sistema la recorde una vegada per sessió amb el ssh-agent. $ ssh-add -l $ ssh-add ~/.ssh/id_dsa

Seguretat addicional Amb la autentificació a nivell de usuari pot ser insegura. Es fa una autentificació a nivell de màquina. Quant connectem per primera vegada ens diu si volem guardar el fingerprint del servidor. Es guarda en .ssh/know_hosts

scp Funciona de forma anàloga a la comanda cp, però utilitza prefixos de conexió a màquina remota: usuari@host:/PATH_AL_FITXER Per exemple: $ scp $HOME/file1 jose@sga2.upv.es:$HOME Copia el fitxer file1 de la carpeta home local a la carpeta home del servidor sga2.upv.es.

SSH backdoor o Remote Forwarding Permet accedir via SSH a una màquina darrera d'un firewall. Si la màquina té accés cap a l'exterior aleshores es possible saltar-se el tallafocs si tenim accés a la màquina.

SSH Proxy Si existeix un tallafocs o necessites una certa privacitat en les connexions a Internet. $ ssh -D 7070 jo@macasa.com Redirecciona la connexió al port 7070. Cal que el servidor tinga en /etc/ssh/sshd_config: AllowTcpForwarding yes GatewayPorts yes TCPKeepAlive yes En el firefox es fica com a proxy sols en SOCKS v5 localhost:7070 i a funcionar!

Accedir a servicis darrere d'un tallafocs - En este cas, el tallafocs sols deixa passar el port 22. - Necessitem utilitzar el Samba, la web i el correu de la intranet. http://souptonuts.sourceforge.net/sshtips.htm

Accedir a servicis darrere d'un tallafocs - El servidor SSH té com a IP pública 66.35.250.203 - Cal configurar el portàtil per a tunelitzar el tràfic a través del servidor.

Tunelitzar el tràfic ~/.ssh/config ## Linux Laptop .ssh/config ## Ha de tindre permisos 600 ~/.ssh/config ## Linux Laptop .ssh/config ## Host work HostName 66.35.250.203 User lliurex LocalForward 20000 192.168.0.66:80 LocalForward 22000 192.168.0.66:22 LocalForward 22139 192.168.0.8:139 LocalForward 22110 192.168.0.5:110 Host http HostName localhost User donkey Port 22000 HostKeyAlias localhosthttp El usuari és lliurex i el nom d'aquesta connexió és work. Per tant, es pot utilitzar $ ssh work Després d'aquesta connexió és posible acedir dirèctament al servidor http per ssh

Tunelitzar el tràfic - Es poden fer coses en una sola comanda: $ ssh -L 4000:destinacio:80 user@intermediari