Quacos – E’ ragionevole aver fede Gli argomenti sono diversi, ma l'approccio e' sempre a mente aperta

SSH forwarding per raggiungere un server protetto da firewall

Mi è stato commissionato un lavoro piuttosto importante, e il server presenta diverse misure di sicurezza: bisogna usare solo SSH e l’accesso è possibile solo a IP selezionati; dato che io ho l’IP dinamico era impossibile darmi l’accesso. Per fortuna SSH mette a disposizione un’opzione per il forwarding, e quindi è sufficiente che sull’IP che può accedere al server (da qui in poi “ponte”) giri un server SSH.

Se sul “ponte” il sistema operativo a disposizione è Windows, niente paura: esiste un’installazione minimale di Cygwin che ci permette di avere un server SSH su Windows insieme alle UNIX utilities necessarie, SSH for Windows. Una volta eseguita l’installazione, compare un avviso che ci esorta a creare un file group e un file passwd: come spiega anche questa guida, bisogna immettere questi comandi nel prompt (sostituendo nome_utente_windows con un utente della macchina windows):

cd C:\Programmi\OpenSSH\etc

mkgroup -l >>C:\Programmi\OpenSSH\etc\group

mkpasswd -l -u nome_utente_windows >>C:\Programmi\OpenSSH\etc\passwd

Ora bisogna rendere raggiungibile il “ponte” dalla nostra postazione: basta creare una regola sul router e aprire una porta sull’eventuale firewall software: di solito c’è quello di Windows abilitato. Volendo si potrebbe scegliere una porta diversa dalla 22 per incrementare il livello di sicurezza.

A questo punto siamo pronti per lanciare la connessione dalla nostra macchina di partenza per creare il nostro forward:

ssh nome_utente_windows@ponte -L 10022:server_irrangiungibile:22

“Ponte” va sostituito con l’IP del ponte, e “server_irraggiungibile” con l’IP del… server. Dobbiamo anche scegliere una porta da aprire sul nostro punto di partenza sulla quale far confluire il traffico verso il nostro server irraggiungibile: io ho scelto 10022 ma si può scegliere qualsiasi porta libera che non sia sotto la 1024 (solo root può aprire porte sotto quel limite). Mantenendo aperta la finestra del terminale, dobbiamo aprirne un’altra per poter finalmente lanciare la nostra connessione verso il server di destinazione:

ssh nome_utente_sul_server_irraggiungibile@localhost -p 10022

Morale della favola? Abbiamo sfruttato un computer con Windows per raggiungere un server Linux a noi inaccessibile: una bella sensazione.