SSH-Verbindungs-Status

[Innocentus]

Gibt es in Debian ein Tool mit dem der Verbindungsstatus (Tunnel/Datendurchsatz/Clients/Benutzer) der gerade aktiven SSH-Verbindungen (als root)
oder der eigenen SSH-Verbindung angezeigt werden kann? Insbesonders die aktiven SSH-Tunnel wären von Interesse.

Vielen Dank für eure Antworten im Voraus!
Mit freundlichen Grüßen
Innocentus

[Cae]

Im Prinzip mit netstat, iftop und w. Deren Manpages helfen weiter.

Gruß Cae

[nepos]

An die Tunnel kommst du denke ich mit netstat oder aehnlichem gar nicht ran. Ein SSH-Tunnel laeuft ueber die bereits offene TCP-Verbindung. An die Benutzer kannst du denke ich via /var/log/auth.log rankommen.

[uname]

Der Tunnel bzw. die Verbindungen werden z.B. mit

Code: Alles auswählen

lsof -R -i|fgrep Ziel

sichtbar, sofern eine Verbindung aufgebaut wurde. Über die Option "-R" wird auch der Parent-Prozess (alternativ pstree -p) ausgegeben.

Nun könnte man vielleicht unter /proc/<process-id-parent> ein wenig rumsuchen. Vielleicht gibt es dort irgendwelche Anzeichen für aktive bzw. mögliche Socketverbindungen bzw. Child-Prozesse. Scriptgesteuert könnte man vielleicht Änderungen erkennen. Leider kenn ich mich mit dem /proc-Filesystem wenig aus.

[Innocentus]

Vielen Dank für eure Antworten.

Allerdings erhalte ich weder eine Ausgabe noch eine Log-Datei:

Code: Alles auswählen

lsof -R -i|fgrep /tmp/tunnel.log

Im Ordner /tmp befinden sich übrigens viele tun#####.sock-Dateien.
Allerdings scheinen diese leer zu sein.

Mit freundlichen Grüßen
Innocentus

[uname]

Führe erst mal nur

Code: Alles auswählen

lsof -R -i

ohne "fgrep" aus, um überhaupt Socketverbindungen, Prozesse und Parent-Prozesse zu sehen.

Auch die aufgeführten sock-Dateien gehören irgendwelchen Prozessen. Ein

Code: Alles auswählen

lsof

und dann die Suche nach irgendwas Informationen könnte hier Wunder wirken. Direkt ein "fgrep" auf Dateien solltest du nicht versuchen.

[Innocentus]

Vielen Dank für Deine Antwort.

In der Liste, die der Befehl ausgibt, kommen auch Einträge wie

sshd xxx xxx xxxl 3u IPv4 xxx TCP xxx:ssh->xxx:xxx (ESTABLISHED)

vor. Das müssten die SSH-Tunnel sein.

Mit freundlichen Grüßen
Innocentus

[uname]

sshd xxx xxx xxxl 3u IPv4 xxx TCP xxx:ssh->xxx:xxx (ESTABLISHED)

Du hast recht die Zeile sieht ungefähr so aus. Nur dass dort bei der Quelle (vor dem Pfeil) kein "ssh" (Port 22) steht, sondern ein Port > 1023 . Solltest du vielleicht mal überprüfen. Wenn da ein "ssh" steht ist es die SSH-Verbindung zum SSH-Server auch wenn der Pfeil etwas anderes vermuten lässt.