Von irgendwo per ssh auf meinem Rechner einloggen

[tobb]

Hi,

kann man von auserhalb auf Rechner eines LAN Zugreifen?

In unserem Homenetzwerk sind alle Rechner hinter einem Modem und einer Router-Firewall. Die IP Adressen der Rechner sind die ganz normalen internen 192.168.0.x Adressen.

Wie kann ich mich jetzt von irgendwo (Internetcafe etc...) mit ssh darauf einloggen.

[esteel]

Log dich per ssh auf der Firewall ein und von da aus weiter auf die lokalen Rechner.
Klar ist natürlich daß dazu ssh auf die Firewall erlaubt sein muß und damit auch angreifbar ist..

[tobb]

Es handelt sich hierbei um einen Netgear Router
http://www.netgear.de/Privat/Router/Fir ... index.html

Ich nehme an, dass dort kein ssh-Server laufen wird.

[herrchen]

Ich nehme an, dass dort kein ssh-Server laufen wird.

du kannst aber den port bestmmt an den internen rechner weiterleiten.

stichwort:
port-forwarding

herrchen

[tobb]

Ok und wenn ich das koennte dann wuerde nur noch ein Username und ein Passwort den Angreifer von diesem PC trennen.

Da in unserem Netzwerk aber sehr vertrauliche Daten (Homeoffice, Firemndaten usw...) liegen ist diese Methode aber etwas unsicher oder?

[herrchen]

Ok und wenn ich das koennte dann wuerde nur noch ein Username und ein Passwort den Angreifer von diesem PC trennen.

dann mach´ die authentifizierung über zertifikate.

Da in unserem Netzwerk aber sehr vertrauliche Daten (Homeoffice, Firemndaten usw...) liegen ist diese Methode aber etwas unsicher oder?

das musst du wissen.

herrchen

[tobb]

Ok und wenn ich das koennte dann wuerde nur noch ein Username und ein Passwort den Angreifer von diesem PC trennen.

dann mach´ die authentifizierung über zertifikate.

Was ist das?

Da in unserem Netzwerk aber sehr vertrauliche Daten (Homeoffice, Firemndaten usw...) liegen ist diese Methode aber etwas unsicher oder?

das musst du wissen.

Ja, es ist uns zu unsicher.

[daedalus]

Da in unserem Netzwerk aber sehr vertrauliche Daten (Homeoffice, Firemndaten usw...)

Wenn das Komma zwischen "Homeoffice" und "Firmendaten" als "und" zu lesen ist, würde ich mir über weitere Sicherheitsprobleme auch keine Gedanken mehr machen...

Grundsätzlich kannst Du es vergessen, vertrauliche Arbeiten an nicht vertrauenswürdigen Computern durchzuführen. Du könntest Dich zwar theoretisch per one-time-password anmelden, aber dann könnte immernoch der Rechner manipuliert sein, sodass ein Man-in-the-Middle- Angriff möglich ist und alles mitgelesen werden kann.

[herrchen]

Was ist das?

http://www.google.de/search?hl=de&q=ssh ... uche&meta=

herrchen

[Duff]

Was wäre denn, wenn du einen vpn-server aufsetzen würdest und dich dann über eine verschlüsselte vpn-Verbindung einwählst?

Auf was möchtest du eigentlich zugreifen? Sprich, wieso ein Zugriff von ausserhalb?

[esteel]

Du kannst eventuell den Spieß auch umdrehen. Falls du von innerhalt deines Netzwerks nach draussen kommst kannst du dich per ssh auf einem Rechner ausserhalb anmelden und dort einen Port über ssh tunneln. Dann kommst du von dem Rechner und nur von dem auf den Rechner im Netzwerk.
Grundsätzlich ist aber natürlich die Frage wieso du sowas hier fragst anstatt deine Admins wenn es wirklich so vertrauenswürdigen Dateien sind

[tobb]

Ich habe kein Admin, ich bin mein eigener Admin. Das Homeoffice bezog sich auf den Mann von meiner Mutter, ich selber bin noch Schüler.

Wenn ich einen Rechner als VPN-Server aufsetze dann ist aber immernoch der Netgear-Router davor. Anders geht es absolut nicht.
Kann ich das auch forwarden?

[daedalus]

Eine bessere Gelegenheit,

#########
# R T F M #
#########

zu posten, muss man auch suchen...

[tobb]

WIeso soll ich jetzt irgendwelche Manuals lesen (cih weiß nicht mal welche) und mich in ein Thema einarbeiten, wenn es wohlmöglich noch der flasche Weg ist den ich hier einschlage.

Ich suche mir hier nur den Weg und lerne dann den Rest selber, aber da es ja viele Möglichkeiten so einen remote Zugriff zu regeln...

[McAldo]

Du mußt auf jedenfall den Port forwarden (vom Router zum Einlogg-PC).

Dann könntest du auf dem Rechner eine restricted bash einrichten, in welche sich der User von außen einloggen kann. Root sollte der Zugriff über ssh verboten werden.

Die restricted Bash kann man noch soweit einschränken, dass nur vorgegebene Kommandos ausgeführt werden können. Aus dieser Umgebung kann man dann z.B. root werden. So muß ein Angreifer 2 Passwörter knacken.

Ich versuche gerade soetwas einzurichten und werde bei Erfolg auch eine Anleitung ins Wiki stellen. Wird aber noch etwas dauern, da leider immer mehrere Sachen zugleich laufen müssen.

Auf jedenfall solltest du mit den nun gegebenen Tipps etwas anfangen können, um dein Wissen in dieser Richtung aufzubauen.

Stichworte: ssh und vpn

Google und die Suche hier im Forum werden dir eine Menge Infos liefern. Wenn dann noch Verständnisfragen sind, kannst du die stellen. Es wird aber keiner eine Lösung für dich basteln, wenn bemerkt wird, dass von deiner Seite keine Anstrengungen unternommen werden. Das ist nicht böse gemeint, aber dies hier ist kein kostenpflichtiger Support, sondern hier helfen User anderen Usern. Jeder hat aber noch eigene Probleme für die er Zeit aufbringen muß.

Ich wünsche dir auf jedenfall viel Erfolg.

McAldo

[herrchen]

Wenn ich einen Rechner als VPN-Server aufsetze dann ist aber immernoch der Netgear-Router davor. Anders geht es absolut nicht.
Kann ich das auch forwarden?

ja, OpenVPN benötigt z.b. nur einen port.

herrchen

[tobb]

Ok also wäre dieses Konzept sicher:

Der Router bleibt von außen unanpingbar.
Der Port für OpenVPN wird vom Router an den OpenVPN Server weitergeleitet.
D.h. einloggen innerhalb des Netzwerkes geht nur über VPN.

Ist das von der Sicherheit akzeptabel?

[herrchen]

Ist das von der Sicherheit akzeptabel?

ja, aber ssh ist auch nicht "unsicher".

herrchen

[diedl2003]

Ok und wenn ich das koennte dann wuerde nur noch ein Username und ein Passwort den Angreifer von diesem PC trennen.

dann mach´ die authentifizierung über zertifikate.

Was ist das?

Da in unserem Netzwerk aber sehr vertrauliche Daten (Homeoffice, Firemndaten usw...) liegen ist diese Methode aber etwas unsicher oder?

das musst du wissen.

Ja, es ist uns zu unsicher.

ssh zu unsicher? Soweit ich weiss, kann das nur mit bruteforce geknackt werden und bei einem guten passwort ist das doch eigentlich ausgeschlossen.
Von einem fremden PC ..zb. einem windows mit keylogger wäre ich allerdings auch skeptisch

[dopehouse]

Also zuersteinmal ist es ratsam, wie einer meiner Vorredner bereits sagte, dass man root den Zugriff von außen generell verbietet. Für solche sachen sind dann su und sudo zuständig. Nun habe ich noch zwei andere Möglichkeiten das ganze noch einen Tick sicherer zu machen, die man auch kombinieren kann.

Möglichkeit 1:
Benutze einen Portknocker und auf den dazugehörigen Daemon auf dem Server. Der Portknocker sendet dann an bestimmte Ports auf dem Server ein Signal. So kann man z.B. den Portknocker Daemon so einstellen, dass man zwei mal auf Port 5000 und danach drei mal auf Port 7000 klopfen muss. Die Ports müssen natürlich auf dem Router durch das Port-Forwarding freigeschaltet sein und die Sequenzen und Ports sind auch frei wählbar. Wenn diese Sequenzen abgeknockt sind, öffnet der Daemon via IPTables (Linuxs interne Firewall) ein oder mehrere Ports auf dem Server. Nach getaner Arbeit Knockt man mit einer anderen Sequenz nochmals auf dem Server an, um den oder die Ports wieder zu schließen. In Debian ist dazu bereits das Paket 'knockd' enthalten, welches nur noch installiert und konfiguruert werden muss.
Auf die Schnelle habe ich dazu noch folgende englischsprachige Anleitung im Netz gefunden: http://www.ducea.com/2006/07/05/how-to- ... -firewall/

Möglichkeit 2:
Das kleine in Perl geschriebene Tool mit Namen 'sshblack' ( zu finden unter http://www.pettingers.org/code/sshblack.html ), ermöglicht es IPs mit zuvielen fehlgeschlagenen SSH-Loginversuchen auf eine Blacklist zu packen, die dann auch wieder mittels IPTables vom Server für einen festgelegten Zeitraum (default 4Tage) zu sperren. Diese möglichkeit hat nicht nur den Vorteil, dass sie Brutforceattacken unterbindet, sondern nebenbei noch das auth.log klein hält . Auf der sshblack Homepage ist gleich eine kleine aber gute Anleitung beigelegt.

Beide Möglichkeiten setzen zumindest anfängliche Erfahrungen im Umgang mit IPTables voraus.
Wenn beide Möglichkeiten kombiniert werden, so bleibt man auch vor Brutforceattacken geschützt, wenn man mal das Schließen der Ports mittels Portknocker vergisst.

[herrchen]

Wenn beide Möglichkeiten kombiniert werden, so bleibt man auch vor Brutforceattacken geschützt, wenn man mal das Schließen der Ports mittels Portknocker vergisst.

alles schön und gut, aber ich habe *zig* ssh-server auf einem hohen port laufen und seit jahren keine aktivitäten feststellen können.
ssh ist ja nun nicht besonders fehleranfällig und mit jeder zusätzlichen sofware holt man sich womöglich auch wieder schwachstellen ins haus ...

herrchen

[meandtheshell]

IMHO hat herrchen Recht. SSH reicht.

/for the more paranoid
Man kann zusätzlich zu SSH noch port knocking verwenden aber das wurde schon erwähnt. Will man das nicht und sollte der sshd port immer offen sein kann man fail2ban verwenden - siehe gleichnamiges packet.

markus

[dopehouse]

Wenn beide Möglichkeiten kombiniert werden, so bleibt man auch vor Brutforceattacken geschützt, wenn man mal das Schließen der Ports mittels Portknocker vergisst.

alles schön und gut, aber ich habe *zig* ssh-server auf einem hohen port laufen und seit jahren keine aktivitäten feststellen können.
ssh ist ja nun nicht besonders fehleranfällig und mit jeder zusätzlichen sofware holt man sich womöglich auch wieder schwachstellen ins haus ...

herrchen

Ich will auch auf keinen Fall abstreiten, dass ssh nicht sicher ist. Allerdings kann es schon sehr nervig sein, wenn man täglich in seinen Logfiles mehrere Hundert oder gar Tausende fehlgeschlagene Loginversuche findet. Da finde ich die Lösung mit sshblack schon ganz angenehm, welches das auth.log beobachtet und bei einer bestimmten menge Fehllogins einfach eine neue Rule in die IPTables schreibt und die jeweilige IP für ein paar Tage sperrt.

Was die Sache mit ssh auf höheren Ports angeht, kann ich da nicht viel zu sagen, da ich es selbst noch nicht so laufen lassen hatte. Denke aber, das zumindest ssh auf seinem default Port gerade ein beliebtes Ziel von ScriptKidies ist, und denen muss man das Leben ja nun nicht gerade so vereinfachen.

[herrchen]

Denke aber, das zumindest ssh auf seinem default Port gerade ein beliebtes Ziel von ScriptKidies ist

genau, deshalb nutzt man den nicht und schon ist ruhe.

herrchen

[esteel]

Und ssh mit public/private keys ist auch nochmal eine ganze Ecke schwerer zu knacken.. Finde es sogar angenehmer als mit einfachem Passwort.