Newsgroup: it.comp.os.linux.sys
Titolo: tunnel SSH: vediamo di capirci.

Ho qui davanti a me una redhat EL 4 (leggermente vecchia come distro)
e una distro piu' recente con l'ultima versione di openssh.
Sulla RH, per quanto riguarda il tunnelling c'e' l'opzione: ssh -L
port:host:hostport
La versione piu' recente di openssh ha una opzione in piu': ssh -L
bind_address:port:host:hostport
Lancio quindi: ssh -L <mio_ip>:2121:hostremoto:21
<someuser>@hostremoto
Vado quindi su un altra macchina, faccio FTP sulla mia macchina, alla
porta 2121 e funziona regolarmente.
Ci siamo no? Dov'e' il problema? C'e' un problema da qualche parte?

 Ci siamo no? Dov'e' il problema? C'e' un problema da qualche parte?
Ti sei perso una connessione dati per strada, cosě a spanne.
Oltre all'autenticazione e al login, prova anche ad effettuare un 
qualsiasi trasferimento dati e vedi che accade...
-- 
http://bofhskull.wordpress.com/

 qualsiasi trasferimento dati e vedi che accade...
Adesso, a esser sincero non ho la macchina sotto il naso e la prova
l'ho fatta in ufficio qualche ora fa... e ti diro' di piu': non mi
faceva nemmeno 'ls' ;-)
secondo te potrebbe essere ovviabile aprendo un secondo tunnell sulla
porta 20? Ma potrei sbagliarmi. Non ho fatto prove significative e non
uso ftp da tanto tempo.
in ogni caso la 20 dovrebbe essere re-indirizzata sempre su 20.
bah...

 in ogni caso la 20 dovrebbe essere re-indirizzata sempre su 20.
E' un po' più intricato di così.
Vedi 
http://slacksite.com/other/ftp.html
 per dettagli.
-- 
http://bofhskull.wordpress.com/


aggiungo una cosa extra: questa prova in realta' non nasce da una mia
necessita', ma da una discussione intrapreso con l'amministratore del
firewall, il quale apre le porte con il contagocce.
Al che gli ho fatto una mail e gli ho detto che con un tunnel SSH in
realta' posso accedere tranquillamente a tutte le porte e che quindi
fa prima a sbloccare 'sto firewall e a non farmi perdere troppo
tempo :)

 in ogni caso la 20 dovrebbe essere re-indirizzata sempre su 20.
Sinceramente mi sembrava di ricordare che ftp non
fosse proprio facile da manipolare.
Un problema sono le due connessioni, dati e controllo,
che vengono utilizzate.
bye,
-- 
piergiorgio


ok e' un casino e mi e' (quasi) chiaro:
In Active mode invece mi sfugge come il vero server FTP vede la
connessione.
1) Vede l'IP finale e quindi inizia lui la connessione direttamente
con il client, ma il client e' confuso perche' in realta' parla con un
IP diverso (quello del tunnel).
2) parla con il tunnel e apre la porta random sul server SSH e quindi
non funziona niente?
In Passive mode il client apre entrambe le comunicazioni, ma la
seconda porta e' random e non la posso stabilire a priori con un
tunnel SSH.


wrote:

infatti... il documento che mi ha inviato Skull mi ha un po' chiarito
le idee.
Ok, domani diro' all'amministratore del firewall che se proprio
insiste puo' lasciare chiusa la porta 21 ed aprirmi tutte le altre :)

 tunnel SSH.
Sostanzialmente esatto.
Al massimo, di norma il server FTP ti consente di configurarlo affinchè 
utilizzi un range ben preciso di porte per le sessioni FTP passive, 
anzichè sceglierle completamente a caso.
Questo permetteva di far funzionare FTP anche con firewall non-stateful, 
nattando e permettendo aprioristicamente tale port-range.
I moduli ip_conntrack_ftp e ip_nat_ftp hanno esattamente lo scopo di 
"guardare dentro" la sessione FTP sulla porta 21 e permettere a 
netfilter di consentire rispettivamente il passaggio ed il NAT delle 
porte diverse dalla 21, trattandole come sessioni RELATED.
Senza di questi, torneresti alla gestione di cui sopra...
-- 
http://bofhskull.wordpress.com/

 insiste puo' lasciare chiusa la porta 21 ed aprirmi tutte le altre :)
http://fonc.sourceforge.net

 
fossi l'admin del fw, ti risponderei che visto che con il tunnel funziona, 
non c'e' bisogno di aprire le porte del firewall...
invece di ftp, non puoi usare scp o sftp?
-- 
Paolo opg
BE AWARE that this post uses a fake reply-to address
to contact me write to:
janickg ( at ) hotmail ( dot ) com
--

 invece di ftp, non puoi usare scp o sftp?
Chiaro che si :o) guarda che e' piu' un gioco che una necessita'
reale.
Non esiste nessun motivo per usare FTP. SSH oggi e' dappertutto. Un
server FTP non lo trovi mai di default.

 per una cosa inutile?
comunque l'admin del firewall la pensa come te..... ;-)
beati loro che vogliono perdere tempo.

 Se vuoi vado a cercare quello che serve e faccio il saputello anche io.
Invece preferisci non cercare, scrivere e fare i soliti show.
Contento tu, contenti tutti, che dire.

 
se non sei admin del firewall, evidentemente non e' il tuo lavoro 
gestirlo.
hai gli strumenti per lavorare, ma stai a questionare sulle altrui scelte 
in un ambito che non conosci e non e' il tuo.
chi ha tempo da perdere?
ognuno ha la sua idea, beninteso, ma calar le braghe senza un motivo 
valido, imho e' mettere il culo nelle pedate (cit ma non ricordo di chi).



Non ho messo il culo da nessuna parte. Discuto e mi confronto
civilmente con le persone.
Parlo di una grande azienda. L'admin del firewall non decide niente.
Applica policy, secondo progetto, che non sono state definite da lui,
ma - probabilmente - da qualcuno che ne sapeva meno di lui.
Io sbaglio a chiedere una cosa che lui non puo' fare, perche' -
comunque - non dipende da lui.
dire poi che quella policy e' sensata... non so.

 
maxad...@gmail.com
    REJECT          Impara a usare il tuo client, genio.
Potrei aver sbagliato a cliccare. Con GoogleGroups e' facile che
succeda.
Tutto quello che scrivi appresso e' stato gia' ampiamente discusso nel
thread. Quindi non mi metto a ridiscutere.
Detto questo, io non capisco il motivo della tua acredine,
acidita'....
mi era sfuggito che in Active mode il server apre una connessione
dalla 20 a una porta random del client, e che in passive mode vengono
aperte due connessioni da porte random del client verso la porta 21
del server?
Si mi era sfuggito.
C'era bisogno di rispondere come le zitelle acide? Chiediti questo.

 C'era bisogno di rispondere come le zitelle acide? Chiediti questo.
Con tutto il rispetto, ho anche io, spesso, l'impressione che tu le 
pedate te le vada a cercare...
-- 
http://bofhskull.wordpress.com/

 pedate te le vada a cercare...
Ma io non la vedo cosi', anche perche' non mi pare che tu abbia
risposto come lui (vedi l'altro thread).
A me le tue risposte, fin qui, non sono sembrate acide. Mi dici che la
connessione e' cosi' e non coli'. Embe', perche' mi dovrei incazzare.
Il "saputellismo" fa sempre un po' parte dello stile di questi NG
tecnici, ma comunque non sono risposte di quelle che poi ti fanno
domandare: "ma che gli avro' fatto mai a questo qui?"

 dire poi che quella policy e' sensata... non so.
questa frase la ritiro.... DROP

 server FTP non lo trovi mai di default.
Poi volendo c'e` scponly....
-- 
"Benvenuto nel mondo vero."
Roy Batty

 Il "saputellismo" fa sempre un po' parte dello stile di questi NG
L'OP ha chiesto di un reverse proxy ftp e io ho risposto a tema
dando una soluzione comprensiva di configurazione base.
E l'OP, ribadisco, ha chiesto *esplicitamente* di un *reverse
proxy ftp*, altrimenti chiunque dotato di senno avrebbe risposto
"usa un banale DNAT di iptables e carica il conntrack helper per ftp"
Tu, invece, intervieni a gamba tesa nel thread per fare il figo
dimostrando al mondo che hai letto il man di ssh, cosa che non solo
non c'entra un cazzo con la richiesta dell'OP, ma che non funzionerebbe
neanche.
Dici che il mio è saputellismo?
O forse sei tu che sei malato di presenzialismo a tutti i costi?


Nun fa 'na piega. E' perfetto quello che dici.
Peccato che io stessi parlando del tono della risposta, e non dei
contenuti tecnici.
Che poi io ho scritto una cazzata se vuoi te lo riscrivo: MONDO! MONDO
INTERO! ASCOLTATEMI TUTTI. M'ero dimenticato di come funzionava la
porta dati del protocollo FTP e ho sparato una grande cazzata. Il
tunnel SSH per FTP e' una cosa assolutamente idiota.

On 6 Nov, 14:31, BJB <sesteseQUESTOVATO...@gmail.ANCHEQUESTOcom>
wrote:

Yep! Usiamo anche questo.... per altri scopi.

 contenuti tecnici.
L'hai anche detto alla mamma?


la tua?

 parlando del tono della risposta, e non dei contenuti tecnici.
Il tono?
Dicesi principio di azione e reazione.


Io non ti ho dato del troll. Io non ho criticato nemmeno il tuo
suggerimento.
Se devo essere sincero l'ho anche trovato corretto sin da subito.
Ma qual e' il problema? Ho dimenticato a mettere la premessa: "trovo
corretto il tuo suggerimento"
boh... forse ho sbagliato a dire "senza nemmeno installare un
pacchetto" (fra l'altro il mio suggerimento era tecnicamente errato,
si, questo lo sappiamo). Sembrava che volesse essere qualcosa di
"meglio"?

 la tua?
Potevi anche aggiungerci "specchio riflesso" fessacchiotto.

 Sembrava che volesse essere qualcosa di "meglio"?
Sembrava che dovessi dire la tua ad ogni costo.
Ad ogni buon conto, come disse il sor Tramaglino, "posso aver fallato".


Newsgroups: it.comp.os.linux.sys
Subject: tunnel SSH: vediamo di capirci.
]zac[
------------
Se non ho letto male, whip, hai scritto che max si è intromesso nella
discussione cercando di fare il saputello ... nel caso è qui il disguido, è
max che ha aperto il thread, quindi è normale che intervenisse ...
Sempre che non abbia preso una cantonata.


Come vedi il caro Adamo, non solo interviene a cazzo, ma apre pure 
thread appositi per prendersi del cretino.