Vlákno názorů k článku Čínský alternativní klient pro Skype od Creckx - S internetovou telefonií to bude špatný dokud tu...

Tohle by mě zajímalo, když mám za natem schované počítače, tak jak se na některý z nich připojím, když mi na něm běží ssh? A vím IP počítače ve vnitřní síti? Četl jsem různé návody, ale to vždycky vyžaduje spolupráci obou stran...

Díky

Pokud ten NAT neplni zaroven funkcni FW nebo je blbe nastaven, tak velmi snadno.

Staci na nej dorucit paket, jehoz adresat bude v privatni siti a odesilatel v te verejne. Router ja znamo nerozlisuje => paket vesele doruci. Adresatovi je to take jedno a odpoved doruci zcela zpravne na svoji defaultni GW, tady nastava mensi, ovsem snadno osetritelny problem - puvodnimu odesilateli dorazi odpoved ne od privatniho adresata, ale od verejne IP NATu. Pokud s tim ale pocitam, neni zadny problem v komunikaci vesele pokracovat dale. Respektive prave si mi podarilo navazat pripojeni => je zaznam v NAT tabulce => dalsi komunikaci vedu uz na sdeleny port a verejnou IP.

Podobne muzu vesele zjistovat organizaci vnitrni site a spoustu dalsich uzitecnych informaci. Takze NAT neni co se zabezpeceni tyce vubec knicemu.

jak na nej chcete dorucit paket s privatni dst ip?

Jednoduse, pripojim se na stejny segment site(easy predevsi u WiFi)/vyuziju blbe nakonfigurovanych routeru cestou (a ze jich na netu je).

Asi nejlepsi reseni je:

#*******************************
#Nastavime default politiku na DROP
#*******************************

"$IPTABLES" -P INPUT DROP
"$IPTABLES" -P FORWARD DROP
"$IPTABLES" -P OUTPUT DROP

########################
#povolena odpoved na vse, co se na server dostalo
"$IPTABLES" -A OUTPUT -j ACCEPT
########################

#**************************
#GLOBALNI
#**************************

#Jsou vsechny nove pakety syn?
"$IPTABLES" -A FORWARD -p tcp ! --syn -m state --state NEW -j DROP

#Nemam rad fragmenty paketu
"$IPTABLES" -A FORWARD -f -j REJECT

#CLIENT
CLNTMAC="00:60:B3:xx:xx:xx"
CLNTIP="45.3"
"$IPTABLES" -A FORWARD -m mac --mac-source "$CLNTMAC" -s "$CELANET"."$CLNTIP" -m state --state NEW -j ACCEPT
"$IPTABLES" -A FORWARD -m state --state ESTABLISHED,RELATED -s "$CELANET"."$CLNTIP" -j ACCEPT
"$IPTABLES" -A FORWARD -m state --state ESTABLISHED,RELATED -d "$CELANET"."$CLNTIP" -j ACCEPT
"$IPTABLES" -t nat -A POSTROUTING -o "$ADAPTER" -s "$CELANET"."$CLNTIP" -j SNAT --to "$VENKIPSERVER"

Nejak mi unika nastavovani policy DROP a pote pridani jedineho pravidla ACCEPT...

Z principu potrebujete urcitu spolupracu oboch stran, ale zavisi ktora vam vyhovuje najlepsie, moznosti:

1. mate ssh ucet na unixovom stroji s verejnou IP
Z pocitacu vo vnutri siete, ku ktoremu sa chcete pripojit, pustite
ssh -R 1234:localhost:22 username_na_verejnom_stroji@stroj_s_verejnou_ip
(predpokladam, ze vam bezi ssh na porte 22)
Ked sa potom zvonka prihlasite na ten stroj s verejnou IP zvonka, date
ssh -p 1234 username_na_privatnom_stroji@localhost
(ono je dost mozne, ze to zarve, ze sa zmenil ssh kluc ak je kluc localhostu v ~/.ssh/known_keys[2], v tom pripade ho treba zmazat)

Ak sa chcete pripojit k pocitacu v privatnej sieti bez nutnosti najprv sa prihlasit k pocitacu s verejnou IP, pridajte do toho command-line -N, tak bude port forwardovany pre vsetkych, co sa k nemu pripoja, na pripojenie zvonka ku stroju vnutri date z lubovolneho stroja:
ssh -p 1234 username_na_privatnom_stroji@stroj_s_verejnou_ip
(tu to urcite zarve, ze sa zmenil kluc)

Este sa moze stat, ze tunel po case vyhnije (spadne), takze na tom stroji s privatnou IP je dobre si dat do cronu test, ci existuje PID toho ssh procesu vytvarajuceho tunel, ak neexistuje, treba ho znova spustit (v mojom pripade nepomohlo ani ked som pouzival keep-alive pakety, so znovaotvaranim tunela to islo super).

2. UDP hole punching
Pred par tyzdnami tu vysiel clanok "Prelez, preskoc a podlez NAT", pozrite sa tam, ale je to IMHO pracnejsie ako najst si shell na stroji s verejnou IP (ak zagooglite, najdete sluzby, co to ponukaju zadarmo).

Hmm, skusal som googlit, ale nasiel som len platene stranky alebo som nasiel aj free, ale tam mi bolo oznamene, ze uz maju plno. Nevedeli by ste mi poradit nejaky konkretny server, najlepsie, ktory mate aj odskusany. Diky.

Naposledy som to skusal hladat asi pred rokom. Pamatam si, ze to dalo celkom zabrat, bolo treba vyskusat viacero sluzieb (problemy s preplnenostou, nefunkcnostou, atd), skuste nejak nahodne vyberat z tohoto zoznamu (http://www.ductape.net/~mitja/freeunix.shtml), tusim tak som to robil ja. Inak tento vyzera celkom dobre: http://www.rootshell.be/. Bohuzial si uz nepamatam, ktory som si vybral, jedine mam vo fotografickej pamati jak vyzerala stranka ;-)