LinuxForum.Fans
Тема

SSH на MandrivaOne 2010

Автор: Logof 16 сообщений 5684 просмотров
18.11.2010 20:23 #100412

имеется ноут с запущенной МандриваОне с поднятым sshd
ip ноута 192.168.1.2
роутер, через который хожу в нет сидит на 192.168.1.1 + настроен на работу с DynDNS для удаленного подключения

при попытке подключиться через внешнюю сеть по порту - вываливается сообщение ssh: connect to host xxx.xxx.xxx.xxx port 2222: Connection timed out

через сканирование портов онлайн сервисами - порт 2222, на котором висит демон, открыт

пробовал рекомендации из https://wiki.archlinux.org/index.php/SSH_%28%D0%A0%D1%83%D1%81%D1%81%D0%BA%D0%B8%D0%B9%29, но не помогло :(

18.11.2010 20:31 · отредактировано #100418

Покажите на роутере

text

iptables-save

На каком порту у вас запущен sshd на ноутбуке? «Проброшен» ли порт с внешнего интерфейса на роутере на соответствующий порт sshd на ноутбуке?
P.S. У меня у самого настроен доступ по ssh к компьютеру за роутером и тоже с использованием DynDNS. Так вот иногда, особенно когда активно качаются торренты на удалённом компьютере, подключиться удаётся с раза пятого, а то и десятого. oO

19.11.2010 02:56 · отредактировано #100496

iptables-save на роутере нет, прикладываю iptables --list (вроде по результату - одинаковый результат)

> iptables --list
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT udp -- 192.168.1.0/24 anywhere udp dpt:30006
ACCEPT tcp -- anywhere anywhere tcp dpt:30005
ACCEPT udp -- anywhere anywhere udp dpt:tftp
ACCEPT tcp -- anywhere anywhere tcp dpt:telnet
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT udp -- anywhere anywhere udp dpt:snmp
ACCEPT icmp -- anywhere anywhere icmp echo-request
ACCEPT tcp -- anywhere anywhere tcp dpt:www
ACCEPT tcp -- anywhere anywhere tcp dpt:ftp
ACCEPT 2 -- anywhere anywhere
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT tcp -- anywhere anywhere tcp dpts:1863:1864
ACCEPT tcp -- anywhere anywhere tcp dpt:4443
ACCEPT tcp -- anywhere anywhere tcp dpt:5190
ACCEPT tcp -- anywhere anywhere tcp dpt:5566
ACCEPT tcp -- anywhere anywhere tcp dpts:40000:40099
LOG tcp -- anywhere anywhere tcp flags:SYN,RST,ACK/SYN limit: avg 6/hour burst 5 LOG level alert prefix `Intrusion -> '
DROP all -- anywhere anywhere

Chain FORWARD (policy ACCEPT)
target prot opt source destination
DROP all -- anywhere 224.0.0.22
ACCEPT udp -- 192.168.1.0/24 anywhere udp dpt:30006
ACCEPT tcp -- anywhere anywhere tcp dpt:30005
ACCEPT tcp -- anywhere 192.168.1.2 tcp dpt:2222
ACCEPT tcp -- anywhere 192.168.1.2 tcp dpt:19110
ACCEPT all -- anywhere 224.0.0.0/3
TCPMSS tcp -- anywhere anywhere tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU
TCPMSS tcp -- anywhere anywhere tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
LOG tcp -- anywhere anywhere tcp flags:SYN,RST,ACK/SYN limit: avg 6/hour burst 5 LOG level alert prefix `Intrusion -> '
DROP all -- anywhere anywhere

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

на роутере открыт 2222 порт

19.11.2010 09:15 #100511

Logof, тогда покажите и

text

iptables -t nat --list
19.11.2010 18:42 #100619

Chain PREROUTING (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere 224.0.0.0/3
ACCEPT all -- anywhere 224.0.0.0/3
REDIRECT tcp -- anywhere anywhere tcp dpt:5190 redir ports 5190
REDIRECT tcp -- anywhere anywhere tcp dpt:1863 redir ports 1863
DNAT tcp -- anywhere 95.189.13.202 tcp dpt:19110 to:192.168.1.2
DNAT tcp -- anywhere 95.189.13.202 tcp dpt:222 to:192.168.1.2
DNAT tcp -- anywhere 95.189.13.202 tcp dpt:ssh to:192.168.1.2
DNAT tcp -- anywhere 92.124.52.82 tcp dpt:19110 to:192.168.1.2
DNAT tcp -- anywhere 92.124.52.82 tcp dpt:2222 to:192.168.1.2
REDIRECT tcp -- anywhere 92.124.52.82 tcp dpt:2222 redir ports 22
DNAT tcp -- anywhere 92.124.39.165 tcp dpt:19110 to:192.168.1.2
DNAT tcp -- anywhere 92.124.39.165 tcp dpt:2222 to:192.168.1.2
DNAT tcp -- anywhere 95.189.14.163 tcp dpt:19110 to:192.168.1.2
DNAT tcp -- anywhere 95.189.14.163 tcp dpt:2222 to:192.168.1.2
DNAT tcp -- anywhere 92.124.48.2 tcp dpt:19110 to:192.168.1.2
DNAT tcp -- anywhere 92.124.48.2 tcp dpt:2222 to:192.168.1.2
DNAT tcp -- anywhere 92.124.62.41 tcp dpt:19110 to:192.168.1.2
DNAT tcp -- anywhere 92.124.62.41 tcp dpt:2222 to:192.168.1.2
REDIRECT udp -- anywhere anywhere udp dpt:5060 redir ports 5060
DNAT udp -- anywhere 192.168.1.1 udp dpt:domain to:195.46.116.1
DNAT udp -- anywhere anywhere udp dpt:46243 to:192.168.1.4:46243-0
DNAT tcp -- anywhere anywhere tcp dpt:46243 to:192.168.1.4:46243-0

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
MASQUERADE all -- 192.168.1.0/24 anywhere

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
19.11.2010 20:04 #100630

Logof,
если sshd на компьютере за роутером поднят на порту 22, измените правило на

text

iptables --list
...
Chain FORWARD (policy ACCEPT)
...
ACCEPT     tcp  --  anywhere             192.168.1.2         tcp dpt:22
...
19.11.2010 23:22 · отредактировано #100656

ssh поднят за роутером на порту 2222
[console]
ptables --list
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT udp -- 192.168.1.0/24 anywhere udp dpt:30006
ACCEPT tcp -- anywhere anywhere tcp dpt:30005
ACCEPT udp -- anywhere anywhere udp dpts:7070:7079
ACCEPT udp -- anywhere anywhere udp dpt:5060
ACCEPT udp -- anywhere anywhere udp dpt:tftp
ACCEPT tcp -- anywhere anywhere tcp dpt:telnet
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT udp -- anywhere anywhere udp dpt:snmp
ACCEPT icmp -- anywhere anywhere icmp echo-request
ACCEPT tcp -- anywhere anywhere tcp dpt:www
ACCEPT tcp -- anywhere anywhere tcp dpt:ftp
ACCEPT 2 -- anywhere anywhere
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT tcp -- anywhere anywhere tcp dpts:1863:1864
ACCEPT tcp -- anywhere anywhere tcp dpt:4443
ACCEPT tcp -- anywhere anywhere tcp dpt:5190
ACCEPT tcp -- anywhere anywhere tcp dpt:5566
ACCEPT tcp -- anywhere anywhere tcp dpts:40000:40099
LOG tcp -- anywhere anywhere tcp flags:SYN,RST,ACK/SYN limit: avg 6/hour burst 5 LOG level alert prefix `Intrusion -> '
DROP all -- anywhere anywhere

Chain FORWARD (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere 239.255.255.250
ACCEPT udp -- 192.168.1.0/24 anywhere udp dpt:30006
ACCEPT tcp -- anywhere anywhere tcp dpt:30005
ACCEPT tcp -- anywhere 192.168.1.2 tcp dpt:2222
ACCEPT tcp -- anywhere 192.168.1.2 tcp dpt:19110
ACCEPT all -- anywhere 224.0.0.0/3
TCPMSS tcp -- anywhere anywhere tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU
TCPMSS tcp -- anywhere anywhere tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
LOG tcp -- anywhere anywhere tcp flags:SYN,RST,ACK/SYN limit: avg 6/hour burst 5 LOG level alert prefix `Intrusion -> '
DROP all -- anywhere anywhere

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
DROP all -- anywhere 239.255.255.250[/console]

внес изменения в правилах как сказано было выше, но результат тот же ssh: connect to host xxx.xxx.xxx.xxx port 2222: Connection timed out


при запуске ssh 92.124.48.2 -p 2222 -v получаю результат
[console]
OpenSSH_5.5p1, OpenSSL 1.0.0a 1 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: Connecting to 92.124.48.2 [92.124.48.2] port 2222.
debug1: connect to address 92.124.48.2 port 2222: Connection timed out
ssh: connect to host 92.124.48.2 port 2222: Connection timed out[/console]

20.11.2010 00:14 · отредактировано #100665
Logof написал:
ssh поднят за роутером на порту 2222

Будем считать, что я понимаю вас правильно: на вашем ноутбуке sshd запущен на 2222 порту.
Если вы хотите получить доступ извне, отправляя запрос вида
[console]
ssh logof@dyndns-adress:2222
[/console]
Убедитесь, что на роутере включена маршрутизация
[console]
# cat /proc/sys/net/ipv4/ip_forward
1
[/console]
Правила должны выглядеть так:

text

iptables -t nat -L -n
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
...
REDIRECT   tcp  --  anywhere             92.124.52.82        tcp dpt:2222 redir ports 2222
...
text

iptables -L -n
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
...
ACCEPT     tcp  --  anywhere             192.168.1.2         tcp dpt:2222 
...

Ну и соответственно на ноутбуке должен быть разрешён доступ к 2222 порту.
P.S. Покажите на ноутбуке
[console]
netstat -pan --inet | grep 2222
[/console]

20.11.2010 06:46 · отредактировано #100699

1. маршрутизация включена
2.

[console]> iptables -t nat -L -n
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 224.0.0.0/3
DNAT udp -- 0.0.0.0/0 192.168.1.1 udp dpt:53 to:195.46.116.1
REDIRECT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:5190 redir ports 5190
REDIRECT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:1863 redir ports 1863
DNAT tcp -- 0.0.0.0/0 92.124.26.124 tcp dpt:19110 to:192.168.1.2
DNAT tcp -- 0.0.0.0/0 92.124.26.124 tcp dpt:2222 to:192.168.1.2
REDIRECT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:5060 redir ports 5060
DNAT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:46243 to:192.168.1.4:46243-0

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
MASQUERADE all -- 192.168.1.0/24 0.0.0.0/0

Chain OUTPUT (policy ACCEPT)
target prot opt source destination[/console]




[console]
> iptables -L -n
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT udp -- 192.168.1.0/24 0.0.0.0/0 udp dpt:30006
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:30005
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpts:7070:7079
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:5060
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:69
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:23
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:161
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 8
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:21
ACCEPT 2 -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpts:1863:1864
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:4443
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:5190
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:5566
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpts:40000:40099
LOG tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x16/0x02 limit: avg 6/hour burst 5 LOG flags 0 level 1 prefix `Intrusion -> '
DROP all -- 0.0.0.0/0 0.0.0.0/0

Chain FORWARD (policy ACCEPT)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 239.255.255.250
DROP all -- 0.0.0.0/0 224.0.0.22
ACCEPT tcp -- 0.0.0.0/0 192.168.1.4 tcp dpt:46243
ACCEPT udp -- 0.0.0.0/0 192.168.1.4 udp dpt:46243
ACCEPT udp -- 192.168.1.0/24 0.0.0.0/0 udp dpt:30006
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:30005
ACCEPT tcp -- 0.0.0.0/0 192.168.1.2 tcp dpt:2222
ACCEPT tcp -- 0.0.0.0/0 192.168.1.2 tcp dpt:19110
ACCEPT all -- 0.0.0.0/0 224.0.0.0/3
TCPMSS tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x06/0x02 TCPMSS clamp to PMTU
TCPMSS tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x06/0x02 TCPMSS clamp to PMTU
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
LOG tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x16/0x02 limit: avg 6/hour burst 5 LOG flags 0 level 1 prefix `Intrusion -> '
DROP all -- 0.0.0.0/0 0.0.0.0/0

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
DROP all -- 0.0.0.0/0 239.255.255.250
[/console]
[console]
# netstat -pan --inet | grep 2222
tcp 0 0 192.168.1.2:2222 0.0.0.0:* LISTEN 21831/sshd[/console]

20.11.2010 10:47 · отредактировано #100714
Logof написал:
при запуске ssh 92.124.48.2 -p 2222 -v получаю результат

что-то не пойму, локально-то всё работает? вот так:
[console]# # lsof -i | grep -i "ssh"
sshd 2643 root 3u IPv4 8311 TCP *:2222 (LISTEN)
sshd 2643 root 4u IPv6 8313 TCP *:2222 (LISTEN)

[/console]
да?


PS: что-то я перепутал с фтп. fixed

20.11.2010 17:03 · отредактировано #100774

не совсем
[console]
lsof -i | grep -i "ssh"
ssh 11171 live 3u IPv4 799125 TCP 192.168.1.2:34795->192.168.1.1:ssh (ESTABLISHED)
sshd 21831 root 3u IPv4 120167 TCP 192.168.1.2:2222 (LISTEN)
[/console]


при выполнении # ssh logof@logof.webhop.net:2222
получаю вот такое :(
[console]ssh: Could not resolve hostname logof.webhop.net:2222: Name or service not known
[/console]

22.11.2010 05:50 #101049

есть подозрение, что проблема в файерволе линукса, а не в настройках роутера

22.11.2010 12:17 #101087
Logof написал:
не совсем

а напрямую работает?
[console]doc@bx:~/soft/slackware$ ssh bx
The authenticity of host '[bx]:53276 ([127.0.0.1]:53276)' can't be established.
RSA key fingerprint is e4:bd:6c:32:04:d3:7a:da:3e:b1:4d:cd:12:f2:e5:4e.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '[bx]:53276' (RSA) to the list of known hosts.
doc@bx's password:
Last login: Fri Nov 19 19:19:02 2010
Linux 2.6.29.6-smp.

Недостаток - это достоинство, из которого еще не научились извлекать пользу.
-- К.Мелихан


Ваш банк выполнил недопустимyю операцию и бyдет закрыт.

xhost: unable to open display ""
Пнд Ноя 22 12:15:20 MSK 2010
X уже запущенны
doc@bx:~$
[/console]
Примечание: моя система меня не сразу пустила....

22.11.2010 18:04 #101157

да, в локальной сети все работает

23.11.2010 22:17 #101556

т.е. получается, что нужно войти по SSH на компьютер с удалённой машины через интернет?
Нужн реальный IP адрес, его выдают провайдеры. Возможно у Вас уже есть такой адрес, уточните у своего провайдера.

24.11.2010 04:50 #101593

внешний IP есть, динамический, поэтому пользуюсь сервисом DynDNS

Войдите или зарегистрируйтесь, чтобы ответить.