Pour éditer le wiki, il faut demander un compte à un Lapin !

Passerelle SSH

From Le L∞p's Wiki
Revision as of 22:27, 12 April 2013 by ToM (Talk | contribs) (Text replace - "<tt>" to "<code>")

Jump to: navigation, search

Comment donner un accès distant sur le réseau du Loop sans en compromettre la sécurité ni alourdir la gestion de l'infrastructure ?

Cahier des charges

  • On doit pouvoir atteindre une machine du LAN sans avoir un compte sur la passerelle ; la passerelle ne doit pas gérer les comptes utilisateurs.
  • SSH version 2 uniquement[1]

Recherche

Situation actuelle

Pour l'instant on rebondit sur la passerelle : 

 ssh user@passerelle "ssh user@cible"

Ceci peut être automatisé par l'utilisation de ~/.ssh/config</tt>[2]. Par exemple pour se connecter sur le MPD : 

 Host mpd
     HostName lan.leloop.org
     HostKeyAlias mpd
     Port 2345
     ProxyCommand ssh -q lan.leloop.org nc -q0 mpd.lan.leloop.org 6789

Problème : il faut un compte sur la passerelle, et on ne veut pas forcément multiplier les comptes sur le routeur.

Chroot

N'autoriser que <code>ssh</tt> (dans un <code>chroot</tt> ?) pour rebondir vers sa machine sur le réseau local du Loop :

Autres pistes

Comment faire pour utiliser les identifiants et mots de passe de la machine cible sans avoir à les gérer sur la passerelle :

  • Autoriser toute connexion mais tuer toute session qui ne serait pas <code>ssh</tt> vers une machine locale (limiter le rebond vers l'extérieur par n'importe qui) toutes les X secondes (X = 10 ?). Cette solution répond aussi à la question du nombre de mots de passe... Est-ce seulement possible ?

Voir aussi

Documentation

Outils

  • Belier : automatisation de rebonds par génération de scripts.

Références

  1. ↑ What's the difference between versions 1 and 2 of the SSH protocol?
  2. ↑ Utilisation transparente d'une passerelle ssh</tt> via <code>ProxyCommand</tt></span> </li> </ol>
Retrieved from "http://wiki.leloop.org/index.php?title=Passerelle_SSH&oldid=3011"