Tibor128 Jan 9 2017 at 13:43

SSH вместо VPN

3 min

61K

System administration *IT Infrastructure *Server Administration *

From sandbox

+29

Comments 54

osipov_dv Jan 9 2017 at 13:51

Простите, а зачем этот весь колхоз, когда есть живой и рабочий Remote Desktop Gateway?

BigD Jan 9 2017 at 15:51

Хорошо, когда серверная ОСЬ… на десятке вроде такого не сделаешь? чтобы к ней подключаться.

osipov_dv Jan 9 2017 at 17:10

Шлюз это отдельная серверная служба, зачем это делать на клиентах, когда можно сделать 1 раз на одном из серверов? Все весело и без проблем бегает по SSL, на любую машину с авторизацией и прочими радостями.

ikormachev Jan 9 2017 at 14:10

Не очень понял из публикации, чем не устроили стандартный VPN (pptp, sstp) с доменной аутентификацией. Настроить VPN подключения на компьютерах пользователей можно или через GPO или через CMAK. Ярлык подключения к серверу можно даже по почте отправить.

В чем преимущества вашей системы?

Tibor128 Jan 9 2017 at 14:24

Уверен, что есть готовые решения. По тем или иным причинам ни одно из них мне не подходит. К сожалению в моём случае имеет место ещё и «политическая» составляющая. Не буду вдаваться в подробности, но для меня это было самым выгодным решением. Надеюсь кому-то ещё пригодится, для того и разместил.

w4r_dr1v3r Jan 11 2017 at 20:53

Уже пригодилось, спасибо!

UFO just landed and posted this here

ikormachev Jan 9 2017 at 14:35

Речь идет о домашних ПК. Хотя подключения можно создавать из bat файлов, что тоже вариант.

Не надо никаких bat файлов: для доменных ПК — GPO, для всех остальных — CMAK.

Один бинарник, который можно переслать пользователю по email(или другим способом), который он запускает и работает.

А как вопрос с безопасностью и разграничением прав удаленного доступа в офисную сеть решается и контролируется?

-1

UFO just landed and posted this here

FeNUMe Jan 9 2017 at 15:35

Пакет администрирования диспетчера подключений(CMAK) это родной виндовый инструмент для создания профилей подключений, он решает проблему с созданием подключений у пользователей и лишает смысла «велосипеды» описанные в статье.

ilyaplot Jan 9 2017 at 14:16

А скриншоту уже лет 9-10? Понастольгировал :)

Fox_exe Jan 9 2017 at 15:26

Можно было и проще — банальный батник для настройки всего-и-вся (VPN, RDP)
А если надо много файлов — смотрим в сторону самораспаковывающихся архивов (Во временную папку).

olekhov Jan 9 2017 at 15:45

Скриншот из игрушки simadmin, если кто не в курсе.
Сам сайт (simadmin.ru) приказал долго жить, но флешку можно скачать на просторах интернета.
Не сочтите за рекламу производителей севревров :)

ruikarikun Jan 9 2017 at 17:04

Помнится, в игрушке в своё время больше всего расстроило, что команды реализованы не полностью. Кажется, grep искал только конкретное выражение и только в конкретном файле, при любых других аргументах выдавал ошибку. Мелкое несовершенство, разрушавшее половину очарования ~~рекламы серверов~~ игры.

tchspprt Jan 12 2017 at 06:38

*Вставить смешную шутку про rm -rf*

Tujh Jan 9 2017 at 15:46

На SF ни каких исходников, только голый rlink.exe, если это попытка «втюхать» вирус — то глупая, если попытка показать проект — то какой смысл?

-1

Tujh Jan 9 2017 at 15:59

Путём несложных манипуляций (через страницу автора на SF) всё же удалось найти исходники проекта:

Беглый осмотр сразу выявил ряд проблем, на мой взгляд:
* Не бросилось в глаза в статье (а в ней есть) но бросилось в исходниках

// структура данных дописываемых в конец exe
// записывается после данных.
// структура exe файла выглядит так:
// EXE
// DATA
// MAGIC_DATA

Такую деятельность некоторые антивирусы рассматривают как признак заражения (как запись, так и извлечение данных) и между прочим — правильно делают, да и «всё давно придумано за нас» ни кто не отменял. Есть специальный раздел в ресурсах исполняемых файлов именно для этого и придуманный — RCDATA если память не подводит.

-2

Tibor128 Jan 9 2017 at 16:21

Не берусь утверждать, что это правда, но сдаётся мне именно так само распаковывающиеся архивы и работают.

mayorovp Jan 10 2017 at 08:41

Так и есть. Любые самораспаковывающиеся архивы устроены как конкатенация SFX-модуля, настроек и обычного архива.

Tibor128 Jan 9 2017 at 16:20

Каюсь, сырцы не выложил т.к. хотел собрать в отдельный проект, не выкладывая libssh с openssl и убрать лишнее. Это в ближайшие дни исправлю.

mihmig Jan 9 2017 at 17:01

Ваше решение, как и RDP+ dnat обладает одним существенным недостатком — нужно вводить пароль.
Сын или племянник главбуха может в целях развлечения «подслушат» пароль и проникнуть в вашу сеть.
Вот кто бы написал мануал по настройке plink+etoken с неизвлекаемым ключом.
Тогда уже Марьванна не сможет отбрехаться, мол «ничего не знаю — пароль никому не говорила».
Только нужно обязать пользователей хранить etoken как зеницу ока и прописать ответственность за передачу третьим лицам.

FeNUMe Jan 9 2017 at 17:22

Далеко не всем и не везде нужен повышенный уровень безопасности. Ну и нет ничего сложного в прикручивании к уже существующему впн и/или терминальному серверу авторизации по токенам или генераторам одноразовых кодов. Для этих целей существует много проприетарных решений и опенсорсная privacyIDEA.

776166 Jan 10 2017 at 00:42

Авторизация по MAC/IP?

-3

abrca Jan 9 2017 at 17:41

А я для этого использую бесплатный ssh клиент Bitvise (https://www.bitvise.com/)

с оффсайта

Our free and flexible SSH Client for Windows includes state of the art terminal emulation, graphical as well as command-line SFTP support, an FTP-to-SFTP bridge, powerful tunneling features including dynamic port forwarding through integrated proxy, and remote administration for our SSH Server.

Bitvise SSH Client can be used free of charge in environments of any type.

В автозапуске у пользователя указан старт этого клиента с заранее настроенным профилем, в котором прописывается подключение к нашему ssh серверу (с разными способами аутентификации) и настраиваются предоставляемые сервисы. По желанию: автозапуск remote desktop, кстати; терминал; мост ftp->sftp; socks прокси (очень удобно для многих применений); проброс портов от клиента к серверу и обратно и т.д. Так же есть настройки поддержания подключения, автоматического отключения, автозапуска программ при соединении и т.д. В общем — незаметная иконка в трее, ставшая уже почти незаменимой ))

BigD Jan 10 2017 at 00:04

Он бесплатный для домашнего использования. Если компания — покупайте лицензию.
А так сам его дома использую, да. И на работе — купленный.

abrca Jan 10 2017 at 06:05

Они год или два назад сменили лицензию, https://www.bitvise.com/ssh-client-license — теперь Bitvise SSH Client can be used free of charge, in all types of environments, without limitation.

Продают они только SSH Server

UFO just landed and posted this here

BigD Jan 10 2017 at 00:05

ну тот же принцип, которому сто лет в обед, да

mayorovp Jan 10 2017 at 08:45

Какой именно трюк должен перестать работать? Создание исполнимого файла что ли? Пока разрешены компилируемые языки такое решение будет оставаться работоспособным.

UFO just landed and posted this here

buldozerptz Jan 10 2017 at 10:46

Я думаю, что автор получил те же яйца в профиль. Тот же гемор если б просто поднял vpn и сам удалено настроил бы соединение и rdp на ПК юзверей. Я так настраиваю по республике, где проживаю. Приструнить пользователей не менять ПК не сложно. Один раз настроил все и забыл. Разные серверы, подход один. Абсолютно не вижу разницы с вариантом автора. Просто он взял и потерял время в том же направлении, ни произведя усовершенствование процесса и не добавив изящности в него.

Tibor128 Jan 10 2017 at 10:48

Не приемлемо. Люди перемещаются. Доступ нужен из любой точки и в любое время. Сомнительное удовольствие подрываться в 3 ночи после бурной «пятницы» настраивать кому-то vpn.

MegaShIzoID Jan 11 2017 at 09:24

все решается приказом о вызубривании инструкции для самостоятельной настройки впн, делов то. если это не работает то слать надо подальше такое руководство и такую шаражку

VolCh Jan 11 2017 at 08:32

Меня бы кто приструнил, а то звонят и спрашивают «неужели ни одного компании рядом нет!»

Maxlinus Jan 10 2017 at 10:48

а можно сделать чтобы пароль шифровался и строка запуска не отображалась в программе Process Monitor?

ninetailedfirefox Jan 10 2017 at 10:49

Прошу прощения, уважаемые гуру! У меня одного не соединяется на стадии запроса ssh пароля? И при указании заведомо верного пароля я получаю
[STATUS]: Authentication by password: Fail
Я что-то не так делаю?
rlink --saddr=192.168.1.102 --sport=22 --user=пользователь --lport=3399 --raddr=имя.сервера.домен --rport=3389 --user=«домен\пользователь» --cmd=«mstsc /v:localhost:1234»

Tibor128 Jan 10 2017 at 10:53

Вы указываете --user=«домен\пользователь» видимо подразумевая пользователя конечной машины а программа думает что Вы логинитесь на ssh.
К сожалению я не предусмотрел, что кому-либо может вздуматься дважды указать один и тот же ключ и логика выстроена таким образом что Вы можете его указать хоть трижды — актуальным будет последний.

ninetailedfirefox Jan 10 2017 at 10:56

Не знал) благодарю за столь неожиданно скорый ответ:) Спасибо за ваше время. А есть какой-то вариант указать параметр «домен\пользователь» для конечной машины? Дабы от пользователя даже не требовалось вводить логин для RDP сервера?

Tibor128 Jan 10 2017 at 11:22

боюсь, что если этого нельзя указать программе которую Вы запускаете ключём --cmd, то ничего не получится.

mayorovp Jan 10 2017 at 11:54

cmdkey /delte:TERMSRV/localhost:1234
cmdkey /generic:TERMSRV/localhost:1234 /user:"%login%" /pass:"%password%"

nickolaym Jan 10 2017 at 14:30

Поднять VPN на базе Hamachi — легко и просто, и стоит недорого (вплоть до бесплатно).
Сам так делал, как раз для бухгалтеров, чтобы они по RDP в 1С лазили.

-1

mayorovp Jan 10 2017 at 14:35

… до тех пор пока адрес вашего сервера не начинается на пятерку. После того, как подобное с вами случится, вы больше не скажите про эту программу ни одного хорошего слова :)

nickolaym Jan 10 2017 at 15:48

А можно поподробнее?

mayorovp Jan 10 2017 at 15:57

https://habrahabr.ru/post/146382/

Еще был пост гнева "Как схомячить интернеты и не поперхнуться" но его автор спрятал. Можете поискать в гугле копии.

Barafu Jan 11 2017 at 03:55

Зная пронырливость и бессовестность СБ наших корпораций, ни за что не стал бы запускать на домашнем компе EXEшник, выданный на работе.

VolCh Jan 11 2017 at 08:48

Виртуалочка для удаленной работы мастхэв, даже если ничего запускать не заставляют.

shaivam Jan 12 2017 at 06:39

Спасибо автору, а то я делал 100% тоже самое огородом из plink+cmd+key+.rdp в архиве!
Новым юзерам буду выдывать exe!

loderunner84 Jan 12 2017 at 06:39

не работает с последними OpenSSH серверами (например, в ubuntu 16.04). видимо, приоритеты алгоритмов шифрования поменять нужно

Tibor128 Jan 12 2017 at 12:11

Спасибо! Видимо в новых сборках сервера исключили некоторые алгоритмы по умолчанию. Исправил.

TheSima Jan 16 2017 at 08:48

Как же я хочу дойти до такого уровня, чтобы в один прекрасный день я мог сказать:
«По большому счёту ничего сложного. Берём исходники libssh2, openssl и zlib и прикручиваем их к нашему проекту.»

dostigai Apr 21 2017 at 19:00

Благодарю за хорошее решение!

Подскажите, где можно пощупать исходники? Есть потребность вместо подключения по rdp к Win, подключаться к Linux серверам, скорее всего по VNC. По этой причине, думаю попробовать заменить, потестировать ит.п. Заранее благодарю!

dostigai Apr 24 2017 at 04:33

При коннекте (из Windows в Linux) получаю ошибку:
«только с поддержкой 8,15, 16 и 24 bpp rdp-соединений»

Как я понимаю — лечится изменением глубины цвета в Remote Deskope. Вы можете снизить глубину цвета до 24 по умолчанию? Или возможностью задавать этот параметр в команде запуска…

Tibor128 Apr 25 2017 at 10:44

Добрый день!
Исходники можно посмотреть там же.
Подключение к rdp в статье рассматривалось как пример использования. Подключаться можно к любой службе. Все параметры которые можно задать запускаемой программе через командную строку, указываются с ключом --cmd. Если используемый Вами, клиент не может изменять глубину цвета путём указания его в командной строке, то боюсь никак этого не изменить.
Хотя в таком случае, действительно возможно добавить в исходники код изменяющий соответствующие ключи реестра (если это поможет). Но это частный случай.

Кстати, хочу обратить внимание, что в этой версии, максимальное количество одновременных соединений, жестко ограничено одним единственным. Что не даёт возможности, например, в RDP сессии, качать файлы. Что в моём случае, было определяющим, в плане безопасности ;)