dropbear aus restriktivem UNI-Netz (pauschal-routing)

[xsapling]

Hallo Ihr,

ich bin etwas über die ganzen SSH - Beiträge verwirrt.
Von daher möchte ich folgende Frage stellen.

Ist es mir möglich aus einem abgesichterten UNI-Netz über 2 offene Ports mittels der UNI-Fritz-BOX auf meine heimische Box mittels dropbear zu kommen um dann von dort aus pauschal weiter ins Internet geroutet zu werden. So dass ich somit allen Portsrestriktionen meiner UNI entkommen kann?
D.h. es sollen alle Ports der heimischen Box in der restriktiven UNI genutzt werden können.
Funktioniert das mit einer bridge?



Viele Grüße
Xsap

 

[jesus.christ]

Also bei meinem Uninetz ist es so, dass außer Port 443 und 80 alles zu ist. Was du machen kannst: Du installierst den SSH-Server bei der Box auf Port 80 und mit Entunnel machst ne Session auf die Box und forwardest dir dann grad die Ports, die du brauchst.

Beispiel:
Port 110 auf der Box wird auf deinen lokalen Port 30110 weitergeleitet, wenn du jetzt dein Mailprog auf localhost:30110 einstellst ruft er Mails von einem POP3-Server ab.

Nachteil: es ist unpraktikabel, große Portranges zu forwarden und bei FTP kann es auch Probleme geben (Aktiv-FTP funktioniert z.B. nicht)

Gruß Niko

 

[xsapling]

was ist denn Entunnel?

Also ich kann meinen Laptop an die Fritzbox anschließen, welche hinter dem UNI-Netz läuft, kann der Box aber nicht sagen, dass sämtlicher Internetverkehr per SSH über meine heimische zweite BOX laufen soll?

 

[jesus.christ]

such einfach mal nach der software entunnel von van dyke. mit dem kannst du wie der name schon sagt ports tunneln. der rest wie oben beschrieben. damit auf die box via ssh einloggen und die ports forwarden die du brauchst. nein, du kannst nicht sagen, dass sämtlicher internetverkehr drüber laufen soll, aber halt einzelne dienste die über einen port laufen verfügbar machen. beispielsweise kannst du so von überall das webinterface der box aufrufen.
gruß niko

EDIT: ich seh gradmit putty kannst du auch ohne probleme tunneln, zwar nicht so komfortabel aber da du da nur einen brauchst reicht das vollkommen aus.

 

[jebu81]

Mit MindTerm (http://www.appgate.com/mindterm/) als SSH-Client kannst Du einen lokalen SOCKS-Proxy aufmachen. Der bringt das als plugin mit.
In den SOCKS-fähigen Programmen trägst Du dann 127.0.0.1:1080 bzw. localhost:1080 als Proxy-Server ein und schon ist man über die heimische Verbindung unterwegs. (Muss man natürlich umstellen, wenn man wieder "ungetunnelt" surfen will.)
Surfen und ICQ laufen ohne Probleme, FTP wollte eben auf die Schnell nicht.

 

[xsapling]

EDIT: ich seh gradmit putty kannst du auch ohne probleme tunneln, zwar nicht so komfortabel aber da du da nur einen brauchst reicht das vollkommen aus.

wie meinst Du das denn das man nur einen brauche?

 

[xsapling]

Mit MindTerm (http://www.appgate.com/mindterm/) als SSH-Client kannst Du einen lokalen SOCKS-Proxy aufmachen. Der bringt das als plugin mit.
In den SOCKS-fähigen Programmen trägst Du dann 127.0.0.1:1080 bzw. localhost:1080 als Proxy-Server ein und schon ist man über die heimische Verbindung unterwegs. (Muss man natürlich umstellen, wenn man wieder "ungetunnelt" surfen will.)
Surfen und ICQ laufen ohne Probleme, FTP wollte eben auf die Schnell nicht.

kann ich denn mit dieser Methode auch die VOIP-Funktionalität der BOX hinter der UNI-Firewall nutzen?

 

[jebu81]

EDIT: ich seh gradmit putty kannst du auch ohne probleme tunneln, zwar nicht so komfortabel aber da du da nur einen brauchst reicht das vollkommen aus.

Statt MindTerm gehts auch mit PuTTY, da verbirgt sich die Funktion hinter dynamischen Tunneln. Näheres bzw. eine genaue Anleitung dazu:http://ask.slashdot.org/comments.pl?sid=174479&cid=14514778

kann ich denn mit dieser Methode auch die VOIP-Funktionalität der BOX hinter der UNI-Firewall nutzen?

Was meinst Du mit "VoIP-Funktionalität der Box"? VoIPen kannst Du auch mit einem Softphone, dafür brauchst Du die FBF (dazwischen) nicht. Natürlich nicht in dem reglementierten Uni-Netz.
VoIP durch einen SSH-Tunnel wäre sicherlich interessant, halte ich aber für nicht praktikabel.

 

[jesus.christ]

wie meinst Du das denn das man nur einen brauche?

Du brauchst nur einen Tunnel (zur Fritzbox), da ist Putty also ausreichend. Mit Entunnel kannst du mehrere Sessions besser managen als du es mit dem Putty kannst.

 

[xsapling]

Was meinst Du mit "VoIP-Funktionalität der Box"? VoIPen kannst Du auch mit einem Softphone, dafür brauchst Du die FBF (dazwischen) nicht. Natürlich nicht in dem reglementierten Uni-Netz.
VoIP durch einen SSH-Tunnel wäre sicherlich interessant, halte ich aber für nicht praktikabel.

Könnte man denn hier mit VPN eine praktikablere Lösung finden?
Oder ist das genauso wenig erfolgreich, da das UNI-Netz eben nur eine Hand voll Ports zur Verfügung stellt?

 

[jebu81]

Ich hab den Thread grade nicht wiedergefunden, aber es hat schon mal jemand versucht.
Zwei Boxen per OpenVPN gekoppelt und dann über das VPN telefonieren. So weit ich mich erinnern kann, war der Versuch nicht von Erfolg gekrönt.

 

[KuniGunther]

Ich weiß ja nicht, wie das in Eurem Uni-Netz gehandhabt wird, aber bei den Netzen die ich kenne, wird durchaus überprüft, ob man die freigegebenen Ports zu Tunnelzwecken missbraucht, und wenn ja, gibt das mächtig Ärger.

 

[Peters]

wieso benutzt du nicht sockscap v2?

damit kann man ohne große proxyeinstellerei in den jeweiligen apps direkt aus sockscap die anwendung starten lassen und sie geht über den tunnel ;-)

sehr praktisch

damit hat man den vermeintlichen nachteil des manuellen portforwardings elegant gelöst - man nutzt einfach die socks5 funktionalität aus

 

[xsapling]

Das mit Sockscap klingt ja nicht schlecht!
Nur eine Frage habe da aber dann doch noch. Und zwar ist es mir aufgefallen, dass ein Programm wie z.B.: Emule nachdem es getunnelt wurde meldet, der eingestellte TCP Port sei nicht erreichbar, obwohl sich emule mit dem Server verbindet und anfängt Dateien herunterzuladen.

Ist bekannt, wie man Emule mit einer high-ID durch einen Tunnel betreiben kann?
Ich habe schon versucht den Emule-TCP-Port in der FRitz-Box an die neu angelegte virtuelle Netzwerkkarte weiterzuleiten, an die auch das SSH anliegt. Das hat auch nichts gebracht.
Wer weiß noch Rat?

 

[Reiner030]

Hi,

also der hier gemachte Vorschlag, Port 80 zum tunneln zu verwenden, ist gelinde gesagt nicht von Erfolg gekrönt. Unis haben in der Regel Proxy-Server, die in dem Fall sonstiger Portsperren garantiert auch transparent auf Port 80 und 443 liegt.

=> wir haben vom Verein einen Webserver, dessen ssh-Daemon nicht nur auf Port 22, sondern auch Port 443 horcht. Denn SSL-Verschlüsselte Verbindungen muss auch ein http(s) Proxy 1:1 durchlassen.

Diese Verbindung nutzen wir aber ausschließlich für administrative Zwecke des Servers bzw. gelegentliches Notverbindungen für andere Zweck. Denn man macht mit diesem Tunnel Lücken in das Sicherheitsnetz der jeweiligen Firma/Uni...

Das mit Sockscap klingt ja nicht schlecht!
Nur eine Frage habe da aber dann doch noch. Und zwar ist es mir aufgefallen, dass ein Programm wie z.B.: Emule nachdem es getunnelt wurde meldet, der eingestellte TCP Port sei nicht erreichbar, obwohl sich emule mit dem Server verbindet und anfängt Dateien herunterzuladen.

und Du willst ein riesieges großes Loch buddeln... das kann man nicht gutheissen...

... abgesehen davon macht es überhaupt keinen Sinn, eMule-Verbindungen über Deinen heimischen Anschluß zu tunneln, denn dieser hat nur einen schmalen Upload von 128, 192, 384 oder 672 kBit, den sich Dein Down- Dein Upload und die Download-Antworten teilen müssen!

Bisher hast Du wohl nur die lokale Portweiterleitung eingerichtet. Für den aktiven Empfang müsstes Du eine remote Portweiterleitung einrichten.

Grüße

Reiner
[Edit, weil ich versehentlich auf Absenden statt Vorschau geklickt hatte]

 

[maceis]

Vielleicht wäre es mal sinnvoll zum Kern Deines Anliegens vozudringen.
So nach dem Moto: "Frage nicht nach dem nächsten Schritt sondern beschreibe das Ziel".

Was möchtest Du denn *wirklich* erreichen?

 

[xsapling]

Hallo Maceis,

ich möchte erreichen, dass sämtlicher Internetverkehr der Studentenwohnheimbox über die homebox geroutet wird, damit ich so VOIP betreiben kann. D.h. ich möchte ein ISDN-Telefon an die Studentenwohnheimbox anschließen und dann VOIP benutzen.

Dabei bin ich bewusst, dass der ganze Aufbau einen Flaschenhals hat, nämlich die Upload-Rate des Anschlusses, an dem die Homebox angeschlossen ist.

Aber trotzdem möchte ich das vorgenannte Vorhaben versuchen umzusetzen, d.h. VOIP vorbei an gespertten Ports und vorbei an einem Proxy zu betreiben.

 

[maceis]

Ach so; vorhin sprachst Du noch vom Esel, da hatte ich in eine ganz anderer Richtung gedacht.

Mit VoIP kenne ich mich leider nicht besonders gut aus. Das Vorhaben selbst klingt interessant. Mal ganz abgesehen vom Tunnelproblem wäre der Aufbau vermutlich vergleichbar mit VoIP (FritzBox) über einen LAN-seitig zwischengeschalteten Router.

Frage am Rande: Welche Bandbreiten stehen Dir denn jeweils zur Verfügung?

 

[HB9EZW]

mir kommt da grad so in den Sinn das SSH nur TCP-Verbindungen weiterleiten kann und RTP (Sprachdaten) sind doch UDP. Kann mir das mal jemand bestätigen?

 

[maceis]

mir kommt da grad so in den Sinn das SSH nur TCP-Verbindungen weiterleiten kann und RTP (Sprachdaten) sind doch UDP. Kann mir das mal jemand bestätigen?

Ja, da hatte ich gar nicht mehr daran gedacht.
Es gibt zwar Konzepte, wie man diese Einschränkung "umgehen" kann, aber das macht das ganze Vorhaben nicht unbedingt einfacher.