Ssh and openvpn on the same port
Как запустить OpenVPN и SSHd на одном порту
Задача: Есть абстрактный сервер, и файрволл разрешает доступ на сервер только на 22 порт. С сервера доступна некая внутренняя сеть, с которой нужно работать. Файрволл - внешний и доступа к нему нет. Нужно обеспечить доступ к внутренней сети максимально простым способом
- Постройка тунеля через ssh - http://wiki.sirmax.noname.com.ua/index.php/SSH_TUNNEL. Этот способ работает но не очень удобен. Кроме того, у меня случались подвисания туннелей и требовался перезапуск. В целом решение не слишком удобное хотя к плюсам можно отнести то что оно работает "из коробки".
- Использовать мультиплексирование протоколов с помощью специального демона sslh (тема этой статьи)
Установка sslh
Для 6-й CentOS найти готовый пакет мне не удалось. Версия 1.17 - сходу не собралась, разбираться в причинах времени не было, взял из мастера.
- Склонить исходники
git clone https://github.com/yrutschle/sslh.git
(8f39c106e18eccb66afa2288c4557d4947278538 - последний коммит на данный момент)
- Для сборки мне пришлось доставить следующие пакеты:
# yum install gcc git libconfig-devel libconfig
В зависимости от системы список может отличаться
- Собрать. Да, до сборки пакета руки не дошли. Увы.
make
- Скопировать собранные файлы (sslh-fork и sslh-select) куда-то в $PATH, например в /usr/local/sbin
# ls -lsa /usr/local/sbin/ total 172 4 drwxr-xr-x. 2 root root 4096 Mar 9 16:37 . 4 drwxr-xr-x. 12 root root 4096 Feb 23 16:45 .. 76 -rwxr-xr-x 1 root root 76689 Mar 9 16:36 sslh-fork 80 -rwxr-xr-x 1 root root 81064 Mar 9 16:36 sslh-select
- Не проверено! установить capabilites
# setcap cap_net_bind_service,cap_net_admin+pe sslh-select
# getcap /usr/local/sbin/* /usr/local/sbin/sslh-fork = cap_net_bind_service,cap_net_admin+ep /usr/local/sbin/sslh-select = cap_net_bind_service,cap_net_admin+ep
У меня нет уверенности что этот пункт является необходимым. Но проверить - не было времени. Подробнее (хотя и не очень внятно) написано тут: http://www.everycloudtech.com/sslh-sslssh-multiplexer
- Скопировать init-script
cp scripts/etc.rc.d.init.d.sslh.centos /etc/rc.d/init.d/sslh
В скрите мне пришлось исправить пути (что бы они соответствовали умолчаниям). Возможно это все можно упростить поправив на стадии компиляции.
PROGNAME=sslh
SSLH=${SSLH:-/usr/local/sbin/sslh-select}
CONFIG=${CONFIG:-/etc/sslh/sslh.cfg}
PIDFILE=${PIDFILE:-/var/run/sslh.pid}
LOCKFILE=${LOCKFILE:-/var/lock/subsys/sslh}
STOP_TIMEOUT=${STOP_TIMEOUT:-10}
RETVAL=0
По какой-то причине конфиг в любом случае должен лежать в /etc/sslh/sslh.cfg что на первом этапе вызвало некоторые затруднения. Например процесс запущенный как
/usr/local/sbin/sslh-select -F /etc/sslh.cfg
все равно искал конфигурацию в /etc/sslh/sslh.cfg.
Возможно это ошибка в программе, возможно - особенность моей сборки связанная с какой-либо из библиотек.
Настройка и запуск сервисов
sshd
Так как 22 порт на внешнем интерфейсе будет использован для мультиплексирования, сам sshd переместить на lo.
Port 22 ListenAddress 127.0.0.1
OpenVPN
В моем случае можно было ограничиться тем что OpenVPN работает на 0.0.0.0:1194, но для чистоты эксперимента его тоже перенес на lo:
local 127.0.0.1
