Ports tunneln tunneln tunneln...

Einrichten des lokalen Netzes, Verbindung zu anderen Computern und Diensten.
Antworten
dirk11
Beiträge: 2854
Registriert: 02.07.2013 11:47:01

Ports tunneln tunneln tunneln...

Beitrag von dirk11 » 14.04.2014 22:44:32

Hi Leute,

Folgende Situation:
entfernter Laptop EL - WAN - RechnerA - RechnerB

Der entfernte Laptop EL baut eine Remote-Verbindung zu RechnerA RA auf mit folgender Zeile:

Code: Alles auswählen

ssh -c blowfish-cbc -C -R 44:localhost:22 RechnerA.dyndns.org
Ich sitze aber an RechnerB RB und will eine Verbindung zur Fritzbox mit IP 192.168.178.1, welche sich im Netz von EL befindet.

Also dachte ich mir, ich ergänze die obige Zeile einfach wie folgt:

Code: Alles auswählen

ssh -c blowfish-cbc -C -R 44:localhost:22 RechnerA.dyndns.org -L 8001:192.168.178.1:80
Geht natürlich nicht, weil der Port auf RA "ankommt", ich ihn aber auf RB benötige. Wie kriege ich das jetzt hin, dass ich im Browser auf RB nur noch eine bestimmte link-Zeile (welche?) eingeben muss, so dass ich zur entfernten Fritzbox komme?
Kriege ich das irgendwie "so" hin?

Mir ist klar, das VPN eine Alternative wäre, ebenso die Fernzugriffs-Funktion der Fritte. Beides will ich aber nicht, weil der Anwendungsfall eher selten vorkommt. Geht hier somit auch um die Machbarkeit. Und es muss auf jeden Fall den Weg mit dem Remote-ssh gehen, weil EL an einem DS-Lite-Anschluss hängt und somit keine eigene öffentliche IPv4 hat.

wanne
Moderator
Beiträge: 7625
Registriert: 24.05.2010 12:39:42

Re: Ports tunneln tunneln tunneln...

Beitrag von wanne » 15.04.2014 00:46:23

Du suchst die GatewayPorts clientspecified option in der sshd_config . Wenn du die auf RA gesetzt hast und den ssh-Server neu gestartet hast kannst du dann das machen:

Code: Alles auswählen

ssh -R [::]:8001:192.168.178.1:80 RechnerA.dyndns.org
dnasch kannst du dich von RB aus mit telnet RechnerA.dyndns.org 8001 oder einem beliebigen anderen Programm auf den Router verbinden.
Sonst kannst du dir was mit ncat bauen.

Ansonsten der Router wird doch direkt am Internet hängen. Warum gibt du ihm nicht einfach eine eigene dyndns-Adresse?

Edit: sehe gerade Port 80 das wird man wahrscheinlich nicht so gerne übers Internet nutzen.
Da ist wohl die bessere Variante

Code: Alles auswählen

ssh -R 8001:192.168.178.1:80 RechnerA.dyndns.org
ssh -R 8001:127.0.0.1:8001 RB
und dann von RB aus direkt auf 8001 verbinden. Da brauchst du dann auch kein GatewayPorts clientspecified
rot: Moderator wanne spricht, default: User wanne spricht.

dirk11
Beiträge: 2854
Registriert: 02.07.2013 11:47:01

Re: Ports tunneln tunneln tunneln...

Beitrag von dirk11 » 15.04.2014 10:45:40

Moin! Ich nehme an, die zweite ssh -R -Zeile starte ich auf RA? Das ist nicht als remote notwendig, weil RA und RB im selben localnet sind.
Wie müßte das lauten, wenn von RB nach RA klassisch verbunden werden kann?

Und zur Frage, warum EL nicht einfach eine eigene Dyndns-Adresse kriegt: die hatter, ist aber nutzlos mit IPv6-DS-Lite. Das ist totaler Krampf. Unitymedia...

Anderer Gedanke: Port 443, also ssl-Verbindungen, kriege ich so überhaupt nicht weitergeleitet, oder?

wanne
Moderator
Beiträge: 7625
Registriert: 24.05.2010 12:39:42

Re: Ports tunneln tunneln tunneln...

Beitrag von wanne » 16.04.2014 21:16:38

dirk11 hat geschrieben:Moin! Ich nehme an, die zweite ssh -R -Zeile starte ich auf RA?
Ja.
dirk11 hat geschrieben:Das ist nicht als remote notwendig, weil RA und RB im selben localnet sind. Wie müßte das lauten, wenn von RB nach RA klassisch verbunden werden kann?
Habe ich oben beschrieben.
wanne hat geschrieben:Du suchst die GatewayPorts clientspecified option in der sshd_config . Wenn du die auf RA gesetzt hast und den ssh-Server neu gestartet hast kannst du dann auf EL das machen:

Code: Alles auswählen

ssh -R [::]:8001:192.168.178.1:80 RechnerA.dyndns.org
dnasch kannst du dich von RB aus mit telnet RechnerA.dyndns.org 8001 oder einem beliebigen anderen Programm auf den Router verbinden.
Sonst kannst du dir was mit ncat bauen.
dirk11 hat geschrieben:Und zur Frage, warum EL nicht einfach eine eigene Dyndns-Adresse kriegt: die hatter, ist aber nutzlos mit IPv6-DS-Lite.
Und warum nutzt du dann nicht einfach die IPv6 Adresse? Damit hast du NAT-Probleme dann alle ein für alle mal los. Kein tunneling kein nichts. Deswegen will man IPv6 doch haben damit man genau den Ärger los hat.
dirk11 hat geschrieben:Port 443, also ssl-Verbindungen, kriege ich so überhaupt nicht weitergeleitet, oder?
Doch natürlich. Kein Unterschied zwischen Port 80 oder 443. Du musst nur die 80 durch ein 443 ersetzen.
rot: Moderator wanne spricht, default: User wanne spricht.

dirk11
Beiträge: 2854
Registriert: 02.07.2013 11:47:01

Re: Ports tunneln tunneln tunneln...

Beitrag von dirk11 » 16.04.2014 21:40:32

wanne hat geschrieben:Habe ich oben beschrieben.
Ja. War noch vor dem ersten Kaffee...
wanne hat geschrieben:dnasch kannst du dich von RB aus mit telnet RechnerA.dyndns.org 8001 oder einem beliebigen anderen Programm auf den Router verbinden.
RA und RB liegen ja im gleichen Netz, da brauche ich kein dyndns dazwischen.
Und warum nutzt du dann nicht einfach die IPv6 Adresse?
Weil es auch damit Problem gab. Wie gesagt, DS-Lite. Da bekommt nicht jedes Gerät eine eigene IPv6. Was Unitymedia da gemacht hat, ist einfach nur kopfkrank. Sich damit (und auch mit IPv6) zu beschäftigen ist (zu zweitem momentan) Lebenszeitverschwendung.
Deswegen will man IPv6 doch haben damit man genau den Ärger los hat.
Ich will kein IPv6. Ich brauch auch nicht für jedes Handtuch eine eigene IP. IPv4 reicht.
dirk11 hat geschrieben:Port 443, also ssl-Verbindungen, kriege ich so überhaupt nicht weitergeleitet, oder?
Doch natürlich. Kein Unterschied zwischen Port 80 oder 443. Du musst nur die 80 durch ein 443 ersetzen.
Hmm. Muss ich dann bei Gelegenheit vielleicht nochmal testen. Beim letzten Versuch hat das tunneln von 443 irgendwie nicht so ganz funktioniert.

wanne
Moderator
Beiträge: 7625
Registriert: 24.05.2010 12:39:42

Re: Ports tunneln tunneln tunneln...

Beitrag von wanne » 16.04.2014 23:47:17

dirk11 hat geschrieben:Weil es auch damit Problem gab. Wie gesagt, DS-Lite. Da bekommt nicht jedes Gerät eine eigene IPv6. Was Unitymedia da gemacht hat, ist einfach nur kopfkrank.
Ist nur ein Problem von "deinem" Router. Einfach den Ganzen DS-Light-Schrott abstellen und du hast ganz normales IPv6.
dirk11 hat geschrieben: Sich damit (und auch mit IPv6) zu beschäftigen ist (zu zweitem momentan) Lebenszeitverschwendung.
Deswegen will man IPv6 doch haben damit man genau den Ärger los hat.
Ich will kein IPv6. Ich brauch auch nicht für jedes Handtuch eine eigene IP. IPv4 reicht.
Es reicht dir offensichtlich vorne und hinten nicht. Zuerst hast a, router vo RA und RB NAT weil dir die die IPv4 Adressen nicht reichen. (Alleine den scheiß zu verstehen ist grantiert 100 mal komplizierter als IPv6. Und die 100€ für die Fritzbox wären eigentlich auch unnötig.) Und weil die addressen immernoch knapp sind machst du dynamisch addressen und musst dir dyndns einrichten. Dummerweiße reichen dir die IPv4 Adressen immer noch nicht. Also machst du auf der anderen Seite DS-Light. (Ok, das hat unitimedia dir vorkonfiguriert aber du betreibst es. Und Unitimedia macht das weil die Leute es offensichtlich für eine Kathastrophe halten, wenn ihre IP-Adresse plötzlich Doppelpunkte statt Punkte enthält.) Das bricht dir aber wieder dein dyndns weshalb du dann irgend welche ssh tunnel machst. Aber die kannst du nicht direkt aufbauen weil dir da dein NAT auf der anderen Seite im weg steht. Also machst du einen SSH-Tunnel im ssh tunnel. Langsam wird dir dein Konstrukt aber so kompliziert dass du da selbst nicht mehr durchblickst und hier nachfragen musst.

Und dann schwafelst du irgend was das es dir zu kompliziert sei sowas wie http://[2001:0db8::1319:8a2e:0370:7344]/ im browser einzugeben. Weil da jetzt plötzlich : statt . drin sind und man das in [ ] setzen muss. Damit wär's nämlich vollständig getan, wenn du IPv6 hättest. Also ich denke du willst IPv6, du weißt es nur nicht.
rot: Moderator wanne spricht, default: User wanne spricht.

dirk11
Beiträge: 2854
Registriert: 02.07.2013 11:47:01

Re: Ports tunneln tunneln tunneln...

Beitrag von dirk11 » 17.04.2014 10:43:15

wanne hat geschrieben:Ist nur ein Problem von "deinem" Router. Einfach den Ganzen DS-Light-Schrott abstellen und du hast ganz normales IPv6.
Ist ein "Technicolor irgendwas 7200". Da kann ich exakt _nichts_ einstellen, was über SSID und PW hinausgeht. Vergiss das einfach...
IPv4 reicht.
Es reicht dir offensichtlich vorne und hinten nicht.
Doch, mir reicht IPv4.
Zuerst hast a, router vo RA und RB NAT weil dir die die IPv4 Adressen nicht reichen. (Alleine den scheiß zu verstehen ist grantiert 100 mal komplizierter als IPv6.
Ich stimme dir zu, aber hätte UM nicht dieses DS-Lite (nicht light!) in Zusammenarbeit mit dem denkbar miesen Modem, dann müßte ich keine Reverse-Verbindungen aufbauen, sondern könnte den betroffenen Rechner für die Fernwartung einfach wie üblich per ssh und Dyndns erreichen.
Ok, das hat unitimedia dir vorkonfiguriert
Falsch. Nicht "vorkonfiguriert", aufgezwungen. Ich will das nicht.
aber du betreibst es.
Ich muss damit klarkommen. Das ist etwas anderes. Aber ich möchte das nicht weiter ausdiskutieren, weil es absolut nicht zielführend ist. Ich habe darauf keinen Einfluß, und Punkt. Ich muss mit den Vorgaben leben.
weshalb du dann irgend welche ssh tunnel machst. Aber die kannst du nicht direkt aufbauen weil dir da dein NAT auf der anderen Seite im weg steht.
Nicht mein NAT. Das von UM. Ich würde ja gar keine Reverse-tunnel nutzen, wenn ich nicht dazu gezwungen wäre.
Also machst du einen SSH-Tunnel im ssh tunnel. Langsam wird dir dein Konstrukt aber so kompliziert dass du da selbst nicht mehr durchblickst und hier nachfragen musst.
Ja, das stimmt mitunter. Aber wie gesagt, würde ich einen normalen ssh-Tunnel von RB zu EL aufbauen können, wie ich es jahrelang gemacht habe, hätte ich die ganzen Probleme nicht.
Und dann schwafelst du irgend was das es dir zu kompliziert sei sowas wie http://[2001:0db8::1319:8a2e:0370:7344]/ im browser einzugeben. Weil da jetzt plötzlich : statt . drin sind und man das in [ ] setzen muss. Damit wär's nämlich vollständig getan, wenn du IPv6 hättest.
Nö. Erstens: ich "schwafel" nicht. Zweitens: ich habe nicht (mehr) sooo viele Rechner entfernt. Die stehen als Eintrag in der hosts. Ich gebe also im Brauser gar nix ein, ausser beispielsweise horst:8001. Und im Normalfall steht sogar sowas in den Lesezeichen, denn dafür sind sie da. Drittens: horst:8001 kann ich mir mal locker so merken, auch ausgeschrieben als Dyndns-Adresse und mit wahlweise anderen Ports hintendran. Die von Dir beispielhaft genannte Zahlenkolonne kann ich mir beim besten Willen nicht merken. Und ich glaube, das will ich auch gar nicht. Computer sollen primär dafür da sein, mir das Leben zu erleichtern, nicht zu verkomplizieren, in dem ich mir eine Art Hexadezimalcode oder was auch immer das darstellt zu merken habe. Ich kann kein Hexa, ich kann Dezimal. Hätte man mir ab Grundschule etwas anderes beigebracht, sähe das vielleicht auch anders aus - so ist es aber nicht gewesen, und auch heute lernen die Kinder im Dezimalsystem.
Also ich denke du willst IPv6, du weißt es nur nicht.
"Das glaube ich nicht, Tim." ;)
Ich habe momentan exakt vier "Außenstandorte". Davon einer mit DS-Lite. Ich hoffe, das werden nicht mehr. Und in 99% der Fälle reicht seit über einem Jahr diese Reverse-ssh-Verbindung, nur in diesem einen Ausnahmefall wäre es anders besser gewesen, denn dann könnte ich in der Fritte ein neues Gerät per FW eintragen und müßte nicht nur dafür hinfahren.

wanne
Moderator
Beiträge: 7625
Registriert: 24.05.2010 12:39:42

Re: Ports tunneln tunneln tunneln...

Beitrag von wanne » 17.04.2014 13:46:48

dirk11 hat geschrieben:
Zuerst hast a, router vo RA und RB NAT weil dir die die IPv4 Adressen nicht reichen. (Alleine den scheiß zu verstehen ist grantiert 100 mal komplizierter als IPv6.
Ich stimme dir zu, aber hätte UM nicht dieses DS-Lite (nicht light!) in Zusammenarbeit mit dem denkbar miesen Modem, dann müßte ich keine Reverse-Verbindungen aufbauen, sondern könnte den betroffenen Rechner für die Fernwartung einfach wie üblich per ssh und Dyndns erreichen.
Oben hast du noch gesagt du willst kein IPv6. Jetzt sagst du den DS-Lite-kram willst du auch nicht. Ja was willst du denn dann? Kein Internetanschluss? Kannst du haben. Einfach abziehn. Eigene IPv4 Addressen? Kannst du haben: http://www.unitymediabusiness.de/produk ... lefon.html kostet halt entsprechend mehr. So ist das halt wenn man dutlich mehr nachfrage hat als Angebot. Die Preise steigen. Genug für alle ist nicht da also bekommen die, die mehr zahlen. Im Moment sind das irgend was um die 5€ im Monat, die ein Gleichwertiger Anschluss mit IPv4 Addresse mehr kostet als einer ohne Tendenz steigend.
dirk11 hat geschrieben:
weshalb du dann irgend welche ssh tunnel machst. Aber die kannst du nicht direkt aufbauen weil dir da dein NAT auf der anderen Seite im weg steht.
Nicht mein NAT. Das von UM. Ich würde ja gar keine Reverse-tunnel nutzen, wenn ich nicht dazu gezwungen wäre.
Also machst du einen SSH-Tunnel im ssh tunnel. Langsam wird dir dein Konstrukt aber so kompliziert dass du da selbst nicht mehr durchblickst und hier nachfragen musst.
Ja, das stimmt mitunter. Aber wie gesagt, würde ich einen normalen ssh-Tunnel von RB zu EL aufbauen können, wie ich es jahrelang gemacht habe, hätte ich die ganzen Probleme nicht.
Gezwungen bist du nicht. Wenn du lieb nachfragst bekommst du garantiert IPv6. Und wenn du zu dem lieb nachfragen Geld drauflegst auch IPv4.


Und dann schwafelst du irgend was das es dir zu kompliziert sei sowas wie http://[2001:0db8::1319:8a2e:0370:7344]/ im browser einzugeben. Weil da jetzt plötzlich : statt . drin sind und man das in [ ] setzen muss. Damit wär's nämlich vollständig getan, wenn du IPv6 hättest.
Nö. Erstens: ich "schwafel" nicht. Zweitens: ich habe nicht (mehr) sooo viele Rechner entfernt. Die stehen als Eintrag in der hosts. Ich gebe also im Brauser gar nix ein, ausser beispielsweise horst:8001. Und im Normalfall steht sogar sowas in den Lesezeichen, denn dafür sind sie da. Drittens: horst:8001 kann ich mir mal locker so merken, auch ausgeschrieben als Dyndns-Adresse und mit wahlweise anderen Ports hintendran.
Oh, IPv4 Addressen kannst du in die /etc/hosts schreiben und dyndns kannst du mit denen auch machen. Aber mit IPv6 ist das unmöglich weil…
a) Dir die : Taste fehlt
b) Es deine Religion verletzt
c) sobald du an IPv6 denkst direkt die /etc/hosts verschwindet
?

dem ich mir eine Art Hexadezimalcode oder was auch immer das darstellt zu merken habe. Ich kann kein Hexa, ich kann Dezimal. Hätte man mir ab Grundschule etwas anderes beigebracht, sähe das vielleicht auch anders aus - so ist es aber nicht gewesen, und auch heute lernen die Kinder im Dezimalsystem.
Das summe ist, das schon IPv4 nie dezimal war sondern eher ein verkorkstes 256er System.
Zumindest ich habe in der Grundschule gelernt, dass in nem richtigen Dezimalsystem nach 255 256 kommt und nicht 0.0.1.0. 1.000 kam bei mir in der Schule nämlich nach 999. Und warum die ersten 25-Stellen von 1.2.3.255 1.2.3.128 heißen kann einem eigentlich auch keiner erklären. Das geht dann plötzlich über's Binärsystem. Ist aber für alle normalen Anwender total Wurst. Für die sind es einfach irgendwelche Zeichenketten aus Ziffern und Punkten. Und in zukunft sind halt noch ein paar Buchstaben und : mit drin. Nur für advanced user hat man jetzt den Vorteil dass man nicht mehr umrechnen muss hier mal der Vergleich:

Code: Alles auswählen

123.123.123.123/2  ->  64.  0.  0.0/ 2  |  2101:0db8::1319:8a2e:0370:7344/2  -> 2000::/ 2
123.123.123.123/4  -> 112.  0.  0.0/ 4  |  2101:0db8::1319:8a2e:0370:7344/4  -> 2000::/ 4
123.123.123.123/8  -> 123.  0.  0.0/ 8  |  2101:0db8::1319:8a2e:0370:7344/8  -> 2100::/ 8
123.123.123.123/16 -> 123.123.  0.0/16  |  2101:0db8::1319:8a2e:0370:7344/16 -> 2101::/16
123.123.123.123/23 -> 123.123.122.0/23  |  2101:0db8::1319:8a2e:0370:7344/23 -> 2101::/23
Noch fragen auf welcher Seite ich den Taschenrechner zum umrechnen in verschiedene Zahlensysteme gebraucht habe?
Also ich denke du willst IPv6, du weißt es nur nicht.
"Das glaube ich nicht, Tim." ;)
Ich habe momentan exakt vier "Außenstandorte". Davon einer mit DS-Lite. Ich hoffe, das werden nicht mehr. Und in 99% der Fälle reicht seit über einem Jahr diese Reverse-ssh-Verbindung, nur in diesem einen Ausnahmefall wäre es anders besser gewesen, denn dann könnte ich in der Fritte ein neues Gerät per FW eintragen und müßte nicht nur dafür hinfahren.
Ich fasse also mal zusammen. Du Denkst dir jedes jahr einen von Grund auf neuen Mechanismus aus wie du mit deinen immer noch knapper werdenden IPv4 addressen klar kommst. Satt dass du einfach einmalig Akzeptierst, dass jetzt plötzlich Buchstaben in deiner IP vorkommen können.
Ich meine Port-Forwarding, Private-Addressen, SSH-Tunneling, DHCP... Das sind ja alles keine kleinigkeiten, die weitaus komplexer als der Unterschied zwischen IPv4 und IPv6 sind die du bis jetzt lernen musstest um halbwegs IPv4 nutzen zu können. Und da kommt offensichtlich noch einiges auf dich zu. Hättest du vor 10 Jahren IPv6 gemacht würde dich das alles nichtmehr interessieren.
rot: Moderator wanne spricht, default: User wanne spricht.

dirk11
Beiträge: 2854
Registriert: 02.07.2013 11:47:01

Re: Ports tunneln tunneln tunneln...

Beitrag von dirk11 » 17.04.2014 19:47:44

Du trollst aber genauso gerne wie andere... ;)

Antworten