Spaß mit Tunneln - Port-Weiterleitung und VPN

class: center, middle

# Spaß mit Tunneln
### Port-Weiterleitung und VPN
### Hauke Goos-Habermann
#### https://goos-habermann.de

---

### Über mich

- Entwickler des <a href="https://m23.sourceforge.io">Softwareverteilungssystems m23</a>

- Organisator der <a href="https://kielux.de">Kieler Open Source und Linux Tage</a>

- <a href="https://goos-habermann.de/">Dienstleister zu m23, Linux und Freier Software</a>

- Softwareentwicklung (PHP, BASH, C/C++, JS, Python und was sonst so gebraucht wird...)
  - Administration
  - Schulungen
  - Support
  - Beratung
  - quasi **alles**, *was mit Linux zu tun hat*

- Wöchentlicher Livestream *"Jean und Hauke Show"* auf https://www.youtube.com/c/LinuxGuides

- Community-Video-Serie *"Nicht der Weisheit letzter Schluß"* auf <a href="https://tube.tchncs.de/c/ndwls">tube.tchncs.de</a> und <a href="https://www.youtube.com/channel/UCNDn2bb2AHVCliErAwA-45g">YouTube</a> mit **beruflichen** oder **privaten Projekten**

- Gräbt Tunnel, wann immer nötig.
---
<!--

### Die Rechner

* Home (Linux Mint 20.2)
	* Arbeitsplatzrechner im Home-Office
	* IP (Fake-Internet): 10.6.6.4

* Router (Debian 11)
	* *"Router"* zwischen *"Internet"* und *"Firmen-LAN"*
	* IP (Fake-Internet): 10.6.6.6
	* IP (Fake-LAN): 192.168.6.5

* Webserver
	* Firmeninterner Webserver
	* IP (Fake-LAN): 192.168.6.6
----->

### Übersicht
![img100](SSH-Tunnel-Rechner.png)

<table>
	<tr>
		<td valign="top">
* Home (Linux Mint 20.2)
	* Arbeitsplatzrechner im Home-Office
	* IP (Fake-Internet): 10.6.6.4

* Webserver
	* Firmeninterner Webserver
	* IP (Fake-LAN): 192.168.6.6
		</td>
		<td width="25"></td>
		<td valign="top"></br>
	* Router (Debian 11)
		* *"Router"* zwischen *"Internet"* und *"Firmen-LAN"*
		* IP (Fake-Internet): 10.6.6.6
		* IP (Fake-LAN): 192.168.6.5
		</td>
	</tr>
<table>

---

### SSH-Hostkey

Jeder Rechner, auf dem der SSH-Server installiert ist, besitzt ein weiteres **Schlüsselpaar**, über das der Rechner **eindeutig identifizierbar** ist.

So kann man beim ersten Verbinden zu diesem Rechner feststellen, daß es auch wirklich der richtige ist. Die Dateien der SSH-Hostkey-Schlüsselpaare liegen unter /etc/ssh/ssh\_host\_\* .

Die Fingerabdrücke aller SSH-Host-Schlüssel eines SSH-Servers berechnen:

```bash
ls /etc/ssh/*.pub | xargs -n1 ssh-keygen -lf
```

Am sichersten wäre es immer, die Fingerabdrücke der SSH-Server-Host-Schlüssel vom Serverbetreiber berechnen zu lassen und die Hashes auf einem **sicheren Kanal** an den Nutzer zu senden. Beim Ersten Zugriff des SSH-Clients kann der Nutzer dann den auf dem Server berechneten und den im SSH-Client angezeigten Hash vergleichen.
---

### SSH-Tunnel

Mittels eines SSH-Tunnels werden ein oder mehrere Ports von einem oder mehreren Rechnern aus einem entfernten
Netzwerk zu dem Rechner getunnel, der einen SSH-Client aufruft.

```bash
ssh -fN -o ServerAliveInterval=100 -L [lokaler Port]:\
[entfernte Maschine im entfernten LAN]:[entfernter Port]\
[Tunnel-Benutzer]@example.com
```

* -f: Im Hintergrund ausführen
* -N: Kein Kommando ausführen (praktisch wenn nur Ports weitergeleitet werden sollen)
* -o ServerAliveInterval=100: Alle 100 Sekunden einen Ping an den Server senden, damit die Verbindung offen bleibt
* -L [lokaler Port]:[entfernte Maschine im entfernten LAN]:[entfernter Port]: Entfernten Port zu localhost holen
---

### Beispiel

```bash
ssh -fN -o ServerAliveInterval=100 -L 2222:localhost:22\
-L 8080:192.168.6.6:80 test@10.6.6.6
```

1. Den SSH-Server-Port (22) des Routers **lokal** unter 2222 verfügbar machen
2. Den internen Webserver (Port 80) – auf den nur der Router und Rechner innerhalb des (Fake)-LANs zugreifen können – tunneln und **lokal** unter 8080 verfügbar machen

Mehr dazu in <a href="https://goos-habermann.de/data/Administration_von_Debian_und_Co_im_Textmodus-2021.pdf">Administration von Debian und Co. imTextmodus (Edition 2021) </a> im Kapitel *"SSH-Tunnel"*.
---

### Umgekehrter SSH-Tunnel

Ein Rechner kann auch **eigene Ports** an einen anderen SSH-Server weiterleiten:

```bash
ssh -o "ExitOnForwardFailure=yes" -o "ServerAliveInterval=15"\
-o "ServerAliveCountMax=2" -NR 22022:localhost:22\
portforward@example.com -i /home/portforward/.ssh/id_rsa
```

* -o "ExitOnForwardFailure=yes": Verbindung bei Fehlern beenden
* -o "ServerAliveInterval=15": Alle 15 Sekunden einen Ping an den Server senden, damit die Verbindung offen bleibt
* -o "ServerAliveCountMax=2": Anzahl der Pings, die unbeantwortet bleiben dürfen, bevor die Verbindung als abgebrochen angesehen wird
* -N: Kein Kommando ausführen (praktisch wenn nur Ports weitergeleitet werden sollen)
* -R [entfernter Port]:[lokale Maschine im lokalen LAN]:[lokaler Port]: Entfernten Port zu localhost holen
* -i /home/portforward/.ssh/id_rsa: Einen anderen SSH-Schlüssel verwenden
---

### SSHuttle
Über <a href="https://github.com/sshuttle/sshuttle">SSHuttle</a> können einzelne Rechner (mit allen Ports) aus einem entfernten Netz in das lokale getunnelt werden oder sogar komplette Netze.

#### Beispiel

Tunnelt das ganze 192.168.10.0/24-Netz über example.com in das Netzwerk, das den ssh-Client aufgerufen hat:

```bash
sudo sshuttle -r root@example.com 192.168.10.0/24
```
---

### Schulungen und Workshops

<table>
	<tr>
		<td width="200px">
			<a href="https://goos-habermann.de/data/Administration_von_Debian_und_Co_im_Textmodus-2021.pdf">
				<img width="200px" src="Administration_von_Debian_und_Co_im_Textmodus-2021.png" alt="Administration_von_Debian_und_Co_im_Textmodus-2021"/>
			</a>
		</td>
		<td valign="top">
			<ul>
				<li>Online (z.B. über eigenen NextCloud-Talk-Server)</li>
				<li>Wunschthemen aus Linux- und OpenSource-Bereich</li>
				<li>Aufzeichnung als Video</li>
				<li>ab Februar 2022</li>
				<li>Anfragen: <a href="https://goos-habermann.de/kontakt">https://goos-habermann.de/kontakt</a></li>
			</ul>
		</td>
	</tr>
	<tr>
		<td colspan="2" style="font-size: 17px">
			<a href="https://goos-habermann.de/data/Administration_von_Debian_und_Co_im_Textmodus-2021.pdf">https://goos-habermann.de/data/Administration_von_Debian_und_Co_im_Textmodus-2021.pdf</a>
		</td>
	</tr>
</table>
---

class: center, middle
### Informationen zu mir und meinen Dienstleistungen, m23, ...
### https://goos-habermann.de