Fragen zu dynamischen ssh tunnel

[Arrpork]

Hallo,

ich hätte zwei Fragen zu dynamischen ssh Tunnel (also ssh -D <port>)

Gibt es eine Möglichkeit einem User nur das Tunneln aber nicht das Anmelden am System zu erlauben.

Wie kann man am Besten kontrollieren, welche Websiten über den Tunnel angesurft wurden.
(Sniffern (tcpdump, wireshark) halte ich in diesem Fall für sehr aufwendig, zumindest wenn es nur um http anfragen geht)

Gruß Arrpork

[nepos]

Dir ist schon klar, dass das ein Widerspruch an sich ist oder? Erst verschlüsselte Tunnels per SSH machen und dann lesen wollen, was in den Tunnels übertragen wird...
Wofür dann überhaupt das Tunneln via SSH?

[gms]

Gibt es eine Möglichkeit einem User nur das Tunneln aber nicht das Anmelden am System zu erlauben.

wenn du dem User einen Key zur Verfügung stellst und diesen Key in dessen "authorized_keys2" mit entsprechenden Option versiehst, kommt es daruf hinaus.

z.B

Code: Alles auswählen

# cat authorized_keys2
command="while :; do date; sleep 10; done",permitopen="192.168.1.99:99" ssh-rsa A..

Wie kann man am Besten kontrollieren, welche Websiten über den Tunnel angesurft wurden.
(Sniffern (tcpdump, wireshark) halte ich in diesem Fall für sehr aufwendig, zumindest wenn es nur um http anfragen geht)

wahrscheinlich über die access.log des Webservers
Zur Errinnerung: Du möchtest einen SSH Tunnel einrichten, der eigentlich das Sniffen verhindern soll
Aber zwischen SSH-Server und Webserver ist die Verbindung natürlich unverschlüsselt.

Gruß
gms

[Arrpork]

Dir ist schon klar, dass das ein Widerspruch an sich ist oder? Erst verschlüsselte Tunnels per SSH machen und dann lesen wollen, was in den Tunnels übertragen wird...
Wofür dann überhaupt das Tunneln via SSH?

Die Verbindung ist ja nur bis zum SSH Server verschlüsselt. Danach (also beim Ausgehen vom Server) ist die Verbindung ja Klartext.

[Arrpork]

• # cat authorized_keys2
  command="while :; do date; sleep 10; done",permitopen="192.168.1.99:99" ssh-rsa A..

Das werd ich mal ausprobieren. Danke

wahrscheinlich über die access.log des Webservers.

Dazu bräuchte ich ja Zugriff auf den Zielserver. Den hab ich nicht.

Zur Errinnerung: Du möchtest einen SSH Tunnel einrichten, der eigentlich das Sniffen verhindern soll
Aber zwischen SSH-Server und Webserver ist die Verbindung natürlich unverschlüsselt.

Genau, das meine ich

Gruß Arrpork

[nil]

Gibt es eine Möglichkeit einem User nur das Tunneln aber nicht das Anmelden am System zu erlauben.

Also ich gebe diesen Benutzern immer die Shell "/bin/false" in /etc/passwd. Zudem müssen die Benutzer dann bei SSH die Option "-N" nutzen.

Code: Alles auswählen

ssh -N -D ...