Acceso por ssh al VDR

Una recomendación adicional:

No publiquéis directamente el puerto 22 en Internet. Hay mucha gente con ganas de fastidiar que se dedica a bombardear las máquinas con intentos de login.

Es mejor "esconderlo" en un puerto extraño como el 17734 o cualquier otro.

Suerte.

Gracias por la recomendación, probablemente hubiese usado directamente ese puerto para redireccionar el ssh hacia el VDR desde el router.

Un saludo.

Posix, lo que comentas no funcionará porque nuestra versión aplica un parche que entre otras cosas desactiva el sftp.

Este es el parche que usamos.

Posix escribió:Una recomendación adicional:

No publiquéis directamente el puerto 22 en Internet. Hay mucha gente con ganas de fastidiar que se dedica a bombardear las máquinas con intentos de login.

Es mejor "esconderlo" en un puerto extraño como el 17734 o cualquier otro.

Suerte.

Hola de nuevo.

Acepté muy rápido tu recomendación Posix, pero imagino que para que el ssh escuche por otro puerto habrá que hacer algo no?.

Voy a googlear un poco para ver si me autorespondo, si la respuesta es sencilla agradecería que me la diese alguien.

Un saludo,

Seguro que hay más maneras, pero una es cambiar en el inetd.conf

Código:


ssh        stream tcp nowait root /usr/sbin/dropbear dropbear -i


por

Código:


ssh        stream tcp nowait root /usr/sbin/dropbear dropbear -p 17734 -i


17734 es el puerto que quieras

Reinicias el inetd y listo.

Saludos,
Solrac

He encontrado esto para modificar el puerto de escucha del ssh, ¿Alguien me puede validar si el procedimiento es el adecuado?

Código:


## editar etc/ssh/ssh_config
y quitar el # donde pone port y cambia el 22 por el que se quiera (superior a 1024)


## editar etc/ssh/sshd_config  cambia el 22 por el numero elegido.


## editar /etc/services

busca donde ponga ssh y cambia el 22 en los 2 (udp y tcp) por el elegido.



solrac escribió:Seguro que hay más maneras, pero una es cambiar en el inetd.conf

Código:


ssh        stream tcp nowait root /usr/sbin/dropbear dropbear -i


por

Código:


ssh        stream tcp nowait root /usr/sbin/dropbear dropbear -p 17734 -i


17734 es el puerto que quieras

Reinicias el inetd y listo.

Saludos,
Solrac

Gracias Solrac, resulta mas sencillo lo que tu dices.
Un saludo y muchas gracias.

jb escribió:He encontrado esto para modificar el puerto de escucha del ssh, ¿Alguien me puede validar si el procedimiento es el adecuado?

Es correcto, aunque es mejor modificar solo el sshd_config. El services es mejor no modificarlo y el ssh_config no hace falta para el servidor.

Saludos,
Solrac

solrac escribió:

jb escribió:He encontrado esto para modificar el puerto de escucha del ssh, ¿Alguien me puede validar si el procedimiento es el adecuado?

Es correcto, aunque es mejor modificar solo el sshd_config. El services es mejor no modificarlo y el ssh_config no hace falta para el servidor.

Saludos,
Solrac

De nuevo gracias por concretar al 100% todo.

Saludos.

Sois unos cracks.

Probado el acceso desde internet con vdradmin con lo que indicó Posix, y no he necesitado modificar ni ficheros ni historias. Primero hago la conexion por ssh, y luego arranco el navegador y accedo al VDR con el VDRadmin.

Retomo lo que Posix dijo una vez...."Un lujo asiático". Ahora me toca reconfigurar el puerto del ssh por que para hacer las pruebas lo había dejado en el 22.

De nuevo. Muchas gracias a todos.

solrac escribió:Seguro que hay más maneras, pero una es cambiar en el inetd.conf

Código:


ssh        stream tcp nowait root /usr/sbin/dropbear dropbear -i


por

Código:


ssh        stream tcp nowait root /usr/sbin/dropbear dropbear -p 17734 -i


17734 es el puerto que quieras

Reinicias el inetd y listo.

Saludos,
Solrac

Hola de nuevo.

Estoy intentando cambiar el puerto de acceso por ssh en el vdr con tu recomendación solrac, pero no me funciona, de hecho pruebo a conectarme por el 22 y me sigue dejando, en cambio por el 17734 del ejemplo no me deja, incluso después de haber reiniciado el VDR.

Me da un error de connection refused.

Sugerencias?.

Un saludo,

Pues qué raro.

Prueba en el /etc/ssh/sshd_config a ver qué pasa.

Saludos,
Solrac

solrac escribió:Pues qué raro.

Prueba en el /etc/ssh/sshd_config a ver qué pasa.

Saludos,
Solrac

Es lo que iba a intentar, pero ho existe el directorio /etc/ssh/

He dejado otra vez la línea del ssh para que coja el puerto por defecto y vuelve a funcionar, no entiendo por que no conecta correctamente por el puerto 17xxx.

Alguna otra sugerencia?

El parametro -p es para ejecutar dropbear como aplicación.

Debes cambiar el puerto del SSH en /etc/services para que lo utilice inetd.

Ya te falta poco

Más información, esto es lo indica el messages cuando me conecto en casa con la instrucción:

ssh -l usuariodeacceso -L 127.0.0.1:2001:127.0.0.1:2001 direccionipdeacceso

Código:

Feb  4 22:01:01 m740av authpriv.info dropbear[152]: Child connection from 192.168.0.33:38485
Feb  4 22:01:07 m740av authpriv.notice dropbear[152]: password auth succeeded for 'root' from 192.168.0.33:38485
Feb  4 22:01:07 m740av authpriv.warn dropbear[153]: lastlog_perform_login: Couldn't stat /var/log/lastlog: No such file or directory
Feb  4 22:01:07 m740av authpriv.warn dropbear[153]: lastlog_openseek: /var/log/lastlog is not a file or directory!
Feb  4 22:01:07 m740av authpriv.warn dropbear[153]: wtmp_write: problem writing /var/log/wtmp: No such file or directory
Feb  4 22:01:10 m740av authpriv.warn dropbear[152]: wtmp_write: problem writing /var/log/wtmp: No such file or directory
Feb  4 22:01:10 m740av authpriv.info dropbear[152]: exit after auth (root): Exited normally


Lo que no se que significa el puerto 38485 que aparece ahí, de hecho cada vez que me conecto aparece un puerto distinto, pero ni es el 22 ni es el 17XXX.

Posix escribió:El parametro -p es para ejecutar dropbear como aplicación.

Debes cambiar el puerto del SSH en /etc/services para que lo utilice inetd.

Ya te falta poco

Vale, ya lo probaré mañana, sino la parienta me va a hacer picadillo.

Gracias. Mañana os contaré.

Saludos.

Conseguido!!!

* La configuración del vdradmin para la conexión ha de ser la ip 127.0.0.1 en lugar de la ip del VDR.

* La líneas del /etc/services quedan:

ssh puertoacceso/tcp # SSH Remote Login Protocol
ssh puertoacceso/udp # SSH Remote Login Protocol

* Para conectarse, el comando de conexión del ssh desde cónsola queda:

ssh -p puertoacceso -l usuariodeacceso -L 127.0.0.1:2001:127.0.0.1:2001 direccionipdeaccesoalVDR

* y luego ya se puede usar el explorador con la dirección:

http://localhost:8001/

"puertoacceso" es el puerto que elijamos, diferente del que tiene el ssh por defecto, por ejemplo 17XXX, siendo XXX tres numbers más.

Se me olvidaba. Lógicamente el router tiene que tener redirigido el puerto puertoacceso hacia el VDR para poder hacer funcionar el vdradmin correctamente.

He intentado resumir todos los pasos en este post por si a alguien le interesa hacerlo que no tenga que ir mirando todo el hilo.

Quedaría por indicar como cambiar la contraseña de root que está en otro hilo, y eliminar la cuenta ftp, para que la seguridad fuese un poco más alta. Ya lo añadiré cuando tenga un momento.

Me voy, que voy a tener que dormir en la terraza.

Gracias de nuevo y saludos.

Posix escribió:El parametro -p es para ejecutar dropbear como aplicación.

Debes cambiar el puerto del SSH en /etc/services para que lo utilice inetd.

Ya te falta poco

Hola Posix,

No sé por qué no funcionaba, pero por eso no.

Código:

~ # dropbear -h   
Dropbear sshd v0.50
Usage: dropbear [options]
Options are:
-b bannerfile  Display the contents of bannerfile before user login
                (default: none)
-d dsskeyfile  Use dsskeyfile for the dss host key
                (default: /etc/dropbear/dropbear_dss_host_key)
-r rsakeyfile  Use rsakeyfile for the rsa host key
                (default: /etc/dropbear/dropbear_rsa_host_key)
-F              Don't fork into background
-E              Log to stderr rather than syslog
-w              Disallow root logins
-s              Disable password logins
-g              Disable password logins for root
-j              Disable local port forwarding
-k              Disable remote port forwarding
-a              Allow connections to forwarded ports from any host
-p [address:]port
                Listen on specified tcp port (and optionally address),
                up to 10 can be specified
                (default port is 22 if none specified)
-P PidFile      Create pid file PidFile
                (default /var/run/dropbear.pid)
-i              Start for inetd
-W <receive_window_buffer> (default 24576, larger may be faster, max 1MB)
-K <keepalive>  (0 is never, default 0)

Saludos,
Solrac

Muy buen resumen, jb.

Solo una consideraciones.

Cuando inetd arranca un servicio, es inetd el que abre el puerto en función de lo que pone en services. El parámetro -p en ese caso no afecta al funcinamiento de inetd.
Ese parámetro lo usa dropbear para abrir el puerto cuando arranca como aplicación (sin el -i) ya sea como servidor o como cliente.
Por lo tanto no es necesario modificar el inetd.conf

Además, no es necesario redirigir los puertos 8001 y 2001 ya que VDRAdmin se conecta al 2001 local y encapsulado dentro del protocolo SSH llega hasta el giga. Por eso no es necesario modificar el svdrphosts.conf. Esto es importante ya que con el puerto 2001 abierto en Internet pueden bloquearnos el giga. El puerto 8001 que yo sepa no tiene ningún efecto negativo.

Por último una solución más facil para algunos routers:
- No tocar inetd.conf
- No tocar services
- Dejar el SSH en el puerto 22.
- Redirigir en el router el puerto 17XXX (externo) al puerto 22 de la IP del giga.
Con esto ya podemos configurar VDRAdmin como dices y usar el comando SSH que indicas.

Espero que os funcione.

jb escribió:Lo que no se que significa el puerto 38485 que aparece ahí, de hecho cada vez que me conecto aparece un puerto distinto, pero ni es el 22 ni es el 17XXX.

Para establecer una conexión TCP ha de haber una comunicación entre dos puertos (Origen/destino), en este caso el destination es el 22(ssh), pero tú Source port es un puerto tuyo por encima del 1024...

Código:

From 192.168.0.33:38485

Conexión procedente de la IP 192.168.0.33 con el puerto de origen 38485

Salu2, 8)

Posix escribió:
Cuando inetd arranca un servicio, es inetd el que abre el puerto en función de lo que pone en services. El parámetro -p en ese caso no afecta al funcinamiento de inetd.

Gracias, Posix. Ahora lo entiendo.

Saludos,
Solrac

¡Esto, puesto "bonito" y para el wiki!

Configurar el acceso de VDRAdmin a traves de internet por conexión segura ssh
(desde Windows se puede usar el programa Putty.exe para el acceso por ssh)

Aunque soy un semi-novato de linux por que llevo únicamente unos meses trabajando con ubuntu, no me considero un negado para la informática, pero de no haber sido por la ayuda del resto de compañeros del foro, especialmente Posix y Solrac, probablemente no hubiese conseguido conectar de forma segura con mi VDR a través de internet (al menos más segura que las conexiones que se pueden hacer utilizando los parámetros por defecto). El tutorial, por lo tanto, no me lo puedo atribuir como "cosecha propia", pero servirá para que los usuarios, como yo, menos avanzados, tengan un manual sencillo y paso a paso, para poder conseguir la conexión, y en muy poco tiempo puedan tenerla configurada.

1.- Comenzamos con la configuración del VDRAdmin: Cuando accedemos desde la red de casa, la dirección ip del VDRAdmin que se introduce es la ip de nuestro VDR, pero para acceder desde fuera, tendremos que configurarlo con la siguiente ip: 127.0.0.1 (localhost para los entendidos). (Ver configuración de VDRAdmin para proceder con el cambio de la misma).

2.a.- El router de casa lo tendremos que configurar para que algún puerto externo, redirija la información al puerto 22 que es el que tiene como escucha el ssh de nuestro VDR. El número del puerto externo es mejor que no coincida con un número usado por los servicios del sistema, y a ser posible que tampoco lo usen sniffers, troyanos, virus etc. Aquí os dejo un listado de puertos para que elijáis un número diferente a los que aparecen en el.

http://www.iana.org/assignments/port-numbers
ó
http://www.neohapsis.com/neolabs/neo-ports/neo-ports.html
(Sería interesante que si alguien conoce una lista más actualizada la indicase).

En cuanto a la configuración del router para hacer el redireccionamiento, tendréis que mirar las instrucciones del mismo, pero normalmente se tiene que acceder a las opciones del NAT (Creo que significa Net Adress Translation) del router y redirigir el puerto, por ejemplo, la entrada externa por el puerto 17XXX que se redirija a la ip de nuestro VDR al puerto 22.

2.b.- Este punto es únicamente necesario si no hemos podido realizar el redireccionamiento como indica en el punto 2.a. puesto que como he podido comprobar con mi propio router, puede que no permita la posibilidad de redireccionar un puerto externo con un determinado número a otro interno con otro número de puerto diferente.

De esta manera, en el caso de que tanto externamente como internamente tengamos que configurar el router con el mismo puerto, no hay problema, elegimos el número deseado (17XXX) y cambiamos las opciones NAT del router. En este caso tendremos también que editar el fichero /etc/services y modificar lo números asociados al ssh. Por defecto está el puerto 22 y los tendríamos que sustituir por el número de puerto que hemos elegido (17XXX).

Para que el VDR tome el nuevo puerto, lógicamente, hay que reiniciarlo.

3.- Antes de acceder con vdradmin, necesitamos hacer una conexión segura por ssh con la siguiente instrucción en linux (habría que indicar el procedimiento para windows):

ssh -p puertoacceso -l root -L 127.0.0.1:2001:127.0.0.1:2001 direccionipdeaccesoalVDRporinternetroutercasa

Nos pedirá la contraseña de administrador, se la introducimos y le damos a enter.

Donde, puertoacceso será el 17XXX que hayamos configurado y que el router redirigirá al 22 del VDR. direccionipdeaccesoalVDRporinternetroutercasa será la ip externa que tiene asignada el router de nuestra casa.

Desde windows se puede usar el programa putty.exe (creo recordar que es gratuito), configurando la conexión como ssh, en hostname poner direccionipdeaccesoalVDRporinternetroutercasa y en port poner el puertoacceso (17XXX). En el menú category de la izquierda, elegir y desplegar ssh y luego tunnels y dentro de la ventana que aparece, en source port poner 2001, y en destination escribir 127.0.0.1:2001, y pulsar el botón add. Con esto veremos en la ventana forwarded ports algo así como "L2001 127.0.0.1:2001". Pulsamos el botón OPEN para conectar, y nos pedirá la contraseña de root de nuestro VDR cuando acceda al mismo.

Incluyo las imágenes cortesía de Posix para que quede más claro:

http://img12.imageshack.us/my.php?image=putty1km9.gif
http://img12.imageshack.us/my.php?image=putty2jm8.gif

Como es interesante haber cambiado la contraseña de root antes de dejar los puertos abiertos del VDR y accesibles por internet os indico como hacerlo en este punto:

3.a.- Para cambiar la contraseña de root del VDR, podemos acceder por telnet y escribir:

passwd root

Y nos pedirá dos veces la nueva contraseña de root.

3.b.- También es interesante haber eliminado el usuario ftp que tiene por defecto el VDR, para hacerlo editamos el archivo /etc/passwd y eliminamos la linea del usuario "ftp".

4.- Ya podemos acceder con VDRAdmin a nuestro VDR escribiendo en nuestro navegador de internet:

http://localhost:8001/

No es necesario que pongamos la ip de internet de nuestro router ya que como bien indicaba Posix, mediante la conexión ssh que se ha realizado en el punto 3, el protocolo del ssh redirige la información del puerto 2001 desde nuestra ip hasta el VDR. Tampoco es necesario modificar ningún fichero interno del VDR ya que con la instrucción ssh de conexión indicada, se supone que todo funciona correctamente sin mayor complicación.

Ya he probado el procedimiento aplicando el punto 2b en lugar de el 2a ya que mi router no me permite hacerlo de otra manera, y funciona correctamente. Quedaría pendiente que alguien que tuviese la posibilidad de aplicar el redireccionamiento del punto 2a, indique si funciona, aunque tengo la sensación de que Posix ya lo hace así.

Ala, a rular...

Un saludo,

Bueno, ya veo que en mi router no puedo pasar del puerto 17XXX al 22. Ya modificaré el manual para tener las dos opciones.

Un saludo.

Da gusto cuando alguien sabe expresar las cosas correctamente.

Solo una detalle, el ssh no redirige el puerto 8001, solo el 2001. Es VDRAdmin el que atiende peticiones locales en el puerto 8001.

Por lo demás me parece perfecta la exposición.

En cuanto a Windows, la conexión ssh se haría usando Putty con los datos que aparecen en estas dos capturas:



Eso si, llegar a explicarlo con la claridad de jb me parece imposible.

Un Saludo