Ver el código de «Tunneling Vía SSH»

== Motivación ==

¿Cuántas veces hemos necesitado conectarnos a máquinas detrás de proxys en forma directa? ¿Sólo hay salida de algunos puertos y se necesitan pasar algunos servicios extra en un momento particular? Estas cuestiones se pueden resolver fácilmente con [http://es.wikipedia.org/wiki/Secure_Shell SSH], que usando la implementación de [http://www.openssh.com/ OpenSSH] permite hacer túneles de puertos específicos hacia hosts específicos. Para hacer un proxy "genérico" pueden ver [[Proxy Vía SSH]].

== Sintáxis ==

La sintaxis que necesitamos conocer del SSH necesaria para el tunneling es la siguiente (sacada del man [http://www.openbsd.org/cgi-bin/man.cgi?query=ssh&sektion=1 ssh(1)]):

 # ssh [-p port] [-f]
       [-L [bind_address:]port:host:hostport]
       [-R [bind_address:]port:host:hostport]
       [user@]hostname [command]

La opción <tt>-p</tt> nos permite especificar un puerto de conexión de ssh distinto al estándar.

La opción <tt>-f</tt> manda el comando ssh después de pedirte el password a background.

La opción <tt>-L</tt> nos permite crear un puente entre el puerto local <tt>port</tt> (siempre visto desde el cliente) hacia <tt>host:hostport</tt> abierto en el servidor ssh.

La opción <tt>-R</tt> nos permite crear un puente entre el puerto remoto <tt>port</tt> hacia <tt>host:hostport</tt> abierto desde el cliente.

Si la conexión sólo se va a usar como túnel, puede especificarse algún comando de bajos recurso repetitivo para mantener la conexión activa, por ejemplo <tt>ping -i 60 localhost >/dev/null</tt>, ó <tt>"while test 1; do sleep 10; done"</tt>. Además se puede combinar con la opción <tt>-f</tt>. Si se utiliza con <tt>-f</tt> se debe luego usar <tt>kill</tt> para terminar con la conexión.

== Ejemplos ==

=== Caso 1: Permitir entrada externa a una máquina en una red privada ===

Digamos que estamos en "A", en una red privada detrás de un "proxy" (o gateway, o lo que hubiera), y necesitamos copiar archivos y entrar desde una máquina externa "C". Se necesita tener acceso a C.

<source>
+-+                               +-+
|A| ---> Proxy <--> internet <--> |C|
+-+                               +-+
</source>

En "A" podría ejecutarse el siguiente comando (si el acceso es vía el puerto 22, si no fuera así usar la opción <tt>-p #puerto-para-llegar-a-C</tt>):

<source>
[usuarioA@A ~]$ ssh -R 8022:localhost:22 usuarioC@C 
</source>

Esto permitirá que desde C se pueda ejecutar lo siguiente para copiar archivos o loguearse vía ssh en A:
<source>
[usuarioC@C ~]$ scp -P 8022 /origen usuarioA@127.0.0.1:/destino
[usuarioC@C ~]$ ssh -p 8022 usuarioA@127.0.0.1
</source>

Ahí lo que se hizo fue crear un túnel entre el puerto 8022 en C hacia el 22 en A.

Hay que tener en cuenta que al no especificar el <tt>bind_address</tt> en la opción <tt>-R</tt> se está abriendo el puerto remoto sólo en "localhost". Además, si se quieren abrir puertos privilegiados hay que tener los privilegios de root o que la configuración del sshd permita eso.

=== Caso 2: Copiar entre dos servidores que no se pueden conectar directamente vía un intermediario ===

Deseamos copiar archivos desde "C" hacia "A" vía un puente en "B" (para no dejar ahí los archivos, quizás por falta de espacio ahí). Tenemos el siguiente esquema:
<source>
+-+      +-+      +-+
|A| <--> +B+ <--> |C|
+-+      +-+      +-+
</source>

Queremos que desde "A" podamos "jalar" los archivos en "C", entonecs necesitaremos el siguiente túnel:
<source>
+-+      +-+      +-+
|A| ---> +B+ ---> |C|
+-+      +-+      +-+
 |                 ^
 |                 |
 \-----------------/
</source>

Para ello estando en "A" podemos hacer:
<source>
[usuarioA@A ~]$ ssh -L 8022:<hostC>:22 usuarioB@B
</source>
Con esto, hemos abierto el puerto 8022 en el localhost de "A" como túnel hacia el puerto 22 del host "C".

Lo cual nos permite hacer desde "A" ssh o scp a "C":
<source>
[usuarioA@A ~]$ scp -P 8022 usuarioC@127.0.0.1:/origen/en/C /destino
[usuarioA@A ~]$ scp -P 8022 /origen usuarioC@127.0.0.1:/destin/en/C
[usuarioA@A ~]$ ssh -p 8022 usuarioC@127.0.0.1
</source>

=== Caso 3: Encadenando varios servidores ===

En este caso tenemos cuatro máquinas A, B, C y D, y queremos acceder desde "A" hacia "D". Este sería el esquema final al que se quiere llegar:
<source>
+-+      +-+      +-+      +-+
|A| ---> +B+ ---> |C| ---> |D|
+-+      +-+      +-+      +-+
 |                          ^
 |                          |
 \--------------------------/
</source>

Una propuesta sería encadenarlo así:
<source>
+-+      +-+      +-+      +-+
|A| ---> +B+ ---> |C| ---> |D|
+-+      +-+      +-+      +-+
 |                          ^
 |                          |
 \--------O                 |
          |                 |
          |                 |
          \-----------------/
</source>
Donde la O representa el primer nodo de puentes.

Entonces debemos crear un puente de un puerto en A hacia un puerto en B y luego desde ese puerto hacia D vía C:
<source>
[usuarioA@A ~]$ ssh -L 8022:localhost:8023 usuarioB@B
[usuarioB@B ~]$ ssh -L 8023:<hostD>:22 usuarioC@C
</source>

Encontes ya en "A" se pueden ejecutar cosas como:
<source>
[usuarioA@A ~]$ scp -P 8022 usuarioD@127.0.0.1:/origen/en/D /destino
[usuarioA@A ~]$ scp -P 8022 /origen usuarioD@127.0.0.1:/destin/en/D
[usuarioA@A ~]$ ssh -p 8022 usuarioD@127.0.0.1
</source>

[[Category:Tips]]