Onderwerp: Meerdere servers benaderen via ssh/sftp met 1 IP adres

We hebben hier achter onze firewall een hoop Linux servers staan die toegankelijk zouden moeten zijn van buitenaf via SSH en/of sFTP. Momenteel gebruiken we hier niet-standaard poortnummers voor, maar we lopen regelmatig tegen beperkingen van externe ERP software aan (meestal ondersteunen die enkel poort 22).

Nu zou ik hier bij ons één SSH server willen opzetten, waarmee dan naar de interne servers verbonden kan worden. Zelf zie ik 2 mogelijkheden, maar ik weet niet in hoeverre dat mogelijk is.

1) SSH server een tunnel laten opzetten naar de juiste server, zodat de verbinding uiteindelijk dus op de eindserver terecht komt.
2) Een jailed omgeving opzetten waarbij de home folder van de user gemount wordt op de shared server. Dit mounten zou ik dan ook liefst over ssh laten verlopen, daar de eindservers geen samba of nfs draaien.

Het voornaamste doel is sFTP, maar volwaardige SSH is natuurlijk meegenomen. Het is vooral van belang dat het achterliggende mechanisme voor de klant transparant moet zijn. De klant uitleggen hoe hij manueel met SSH of Putty een tunnel moet opzetten om de eindserver te bereiken is geen optie.

Iemand die hier ervaring mee heeft en me in de juiste richting kan wijzen?

Je zou kunnen proberen om een soort van SSH/SFTP reverse proxy op te zetten, zelf nooit gedaan maar een simpele zoekopdracht in google leverde dit op;
http://serverfault.com/questions/494...-reverse-proxy

Ik denk dat een jailed home directory met een mount naar de eindserver het makkelijksts is.

Of uiteraard nagaan waarom het niet werkt op verschillende externe poorten met redirect naar intern poort 22. Dan hoef je er ook geen workaround voor te bouwen.

Sent from my GT-I9505 using webhostingtalk mobile app

Oorspronkelijk geplaatst door Cakkie

We hebben hier achter onze firewall een hoop Linux servers staan die toegankelijk zouden moeten zijn van buitenaf via SSH en/of sFTP. Momenteel gebruiken we hier niet-standaard poortnummers voor, maar we lopen regelmatig tegen beperkingen van externe ERP software aan (meestal ondersteunen die enkel poort 22).

Nu zou ik hier bij ons één SSH server willen opzetten, waarmee dan naar de interne servers verbonden kan worden. Zelf zie ik 2 mogelijkheden, maar ik weet niet in hoeverre dat mogelijk is.

1) SSH server een tunnel laten opzetten naar de juiste server, zodat de verbinding uiteindelijk dus op de eindserver terecht komt.
2) Een jailed omgeving opzetten waarbij de home folder van de user gemount wordt op de shared server. Dit mounten zou ik dan ook liefst over ssh laten verlopen, daar de eindservers geen samba of nfs draaien.

Het voornaamste doel is sFTP, maar volwaardige SSH is natuurlijk meegenomen. Het is vooral van belang dat het achterliggende mechanisme voor de klant transparant moet zijn. De klant uitleggen hoe hij manueel met SSH of Putty een tunnel moet opzetten om de eindserver te bereiken is geen optie.

Iemand die hier ervaring mee heeft en me in de juiste richting kan wijzen?

Ik denk dat je op de ene of andere manier toch beperkingen moet accepteren, of anders kludges bouwen.
's denken :

Als de klanten vanaf vaste (en verschillende) IP adressen komen, zou je kunnen NAT-ten (ook) op basis van het source IP waar de klant vandaan komt.
Je kunt dan de sessie gewoon doorzetten naar de server van de klant.
Misschien is het optie, je schrijft over 'externe ERP software', wat een beetje doet vermoeden dat de klanten vanaf hun kantoornetwerk komen.
Voor roaming users is het zo geen optie.

Je zou het dan nog een uitbreiding kunnen hacken voor roaming users in vorm van bv een webpagina per klant waar ze even op klikken, waarna de NAT naar hun server op basis van het source IP van de webpagina klik.
Op die manier kun je ook thuiswerker/mobiele users bedienen.

Nog een optie is om toch maar met verschillende poorten te werken, en dan maar wat tijd en moeite te stoppen in het uitzoeken of het toch niet in te stellen is.
Tussen "is niet in te stellen" en "klant weet niet waar dat ingesteld moet worden" zit natuurlijk een verschil.

De bastion host met mounted share van de feitelijke server heb je al genoemd.

Je kunt misschien nog wel dingen bouwen op basis van autocommand in authorized_keys, en misschien een heel sessie kanaal doorzetten. (autocommand met een ssh of zo iets). Maar ik vraag me af of je dat echt onzichtbaar krijgt voor allerlei terminal zaken, en ik meen ook te lezen dat je feitelijk programma-inlog (door ERP software, of sftp starten) wilt supporten, niet zo zeer typende mensen. Het zal wel wat probeerwerk kosten om te kijken of dit gaat werken.

Verder zou je nog een VPN kunnen bieden, waarbij de sftp sessie gewoon door/via het vpn moet gaan.
In dit geval misbruik je het vpn alleen maar om een tunnel met routering te leveren, zodat de destination servers wel rechtstreeks bereikbaar worden voor de client.

Kan je geen VPN vanaf de klant naar je FW opzetten, en op die manier de server in de DMZ benaderen op het DMZ IP?

(heel) Misschien IPv6 ?

Gewoon een loadbalacer gebruiken die op basis van een vhost de inkomende poort 22 redirect naar het intern (of extern) ip adres op de custom poort.

Bijvoorbeeld iets als http://www.zenloadbalancer.com/ (er is een community version beschikbaar) of HAProxy of vyatta of ... (lijst met verschillende load balancers: http://linuxpoison.blogspot.be/2008/...-software.html)

Oorspronkelijk geplaatst door The-BosS

Gewoon een loadbalacer gebruiken die op basis van een vhost de inkomende poort 22 redirect naar het intern (of extern) ip adres op de custom poort.

Bijvoorbeeld iets als http://www.zenloadbalancer.com/ (er is een community version beschikbaar) of HAProxy of vyatta of ... (lijst met verschillende load balancers: http://linuxpoison.blogspot.be/2008/...-software.html)

Ah. Ik zie dat ik de post van TS iets strikter gelezen had dan wat hij schreef.
TS sprak over één SSH server, en ik had dat gelezen als 'er is slechts één publiek IP beschikbaar' . Met die lezing is het lastig om dan toch een reeks van interne servers achter dat ene IP te adresseren,allemaal via dezelfde port 22 op dat ene publieke IP.
Mijn antwoord was een poging/opties om dat toch te doen, met verschillende beperkingen.

Maar is er wel een uniek publiek IP per bestemming , dan kun je prima loadbalancen, of gewoon met NAT het verkeer redirecten naar de juiste interne bestemming.

Als je de klant een scriptje kunt laten uitvoeren vóór ie verbinding maakt kun je eventueel nog portknocking gebruiken. Dan kun je eenvoudig de betreffende poort voor het 'knockende' ip openen.

Oorspronkelijk geplaatst door visser

Als de klanten vanaf vaste (en verschillende) IP adressen komen, zou je kunnen NAT-ten (ook) op basis van het source IP waar de klant vandaan komt.
Je kunt dan de sessie gewoon doorzetten naar de server van de klant.
Misschien is het optie, je schrijft over 'externe ERP software', wat een beetje doet vermoeden dat de klanten vanaf hun kantoornetwerk komen.
Voor roaming users is het zo geen optie.

Wel, zo simpel had ik het nog niet bekeken. In de meeste gevallen gaat het inderdaad om business klanten met een eigen fixed ip, dus NAT op basis van source IP zou inderdaad moeten lukken voor die klanten. Voor de overige klanten kan ik nog altijd een andere oplossing bedenken.

Nog een optie is om toch maar met verschillende poorten te werken, en dan maar wat tijd en moeite te stoppen in het uitzoeken of het toch niet in te stellen is.
Tussen "is niet in te stellen" en "klant weet niet waar dat ingesteld moet worden" zit natuurlijk een verschil.

ERP en flexibel gaat in veel gevallen niet samen... Verder is het voor ons ook niet zo evident om voor paketten van de klant uit te zoeken of ze het ondersteunen en hoe dat ingesteld moet worden. Wij leggen de vraag bij de klant, de klant legt de vraag bij hun ERP partner. Als die nee zegt, is het nee.

SSH forced command, VPN, IPv6 of een eigen IP per klant zijn niet mogelijk dus geen optie. De jail + mounted folder is ook een optie en heb ik al in beperkte mate werkend gekregen, alleen zou ik willen dat die mount automatisch uitgevoerd wordt bij login en unmount bij disconnect.

Oorspronkelijk geplaatst door Cakkie

De jail + mounted folder is ook een optie en heb ik al in beperkte mate werkend gekregen, alleen zou ik willen dat die mount automatisch uitgevoerd wordt bij login en unmount bij disconnect.

Daar zou je waarschijnlijk autofs wel voor kunnen gebruiken.

Ik zit dit zo eens te lezen, maar kan dat niet gewoon via DNS, door subdomeinen door te verwijzen naar de juiste server?
Je weet wel: server1.domein.nl, server2.domein.nl etc.

Nee want SSH is encrypted, je kan niet een loadbalancer de domeinnamen laten uitlezen en dan redirecten.

Sent from my GT-I9505 using webhostingtalk mobile app

Oorspronkelijk geplaatst door 24x7hosting

Nee want SSH is encrypted, je kan niet een loadbalancer de domeinnamen laten uitlezen en dan redirecten.

Je kan een loadbalancer wel perfect de vhost laten uitlezen en redirecten naar het interne (of extern) ip en de custom poort zoals ik al eerder vermeld had . Een loadbalancer kan wel meer dan enkel http/https, ik heb hier meedere HA loadbalancers draaien die zowel imap(s), pop3(s), smtp, http, https, ssh als dns (op udp) doen.

Oorspronkelijk geplaatst door The-BosS

Je kan een loadbalancer wel perfect de vhost laten uitlezen en redirecten naar het interne (of extern) ip en de custom poort zoals ik al eerder vermeld had . Een loadbalancer kan wel meer dan enkel http/https, ik heb hier meedere HA loadbalancers draaien die zowel imap(s), pop3(s), smtp, http, https, ssh als dns (op udp) doen.

Als je een werkende config hebt voor HAproxy dan hoor ik het graag!

Sent from my GT-I9505 using webhostingtalk mobile app