SSH-Zugang ins PSI

$ ssh <user>@hop.psi.ch  
$ <user>@hop.psi.ch's password:

$ ssh <user>@sshserver.psi.ch  
$ <user>@sshserver.psi.ch's password:

$ ssh -t <user>@hop.psi.ch ssh -t <user>@sshserver.psi.ch
<user>@hop.psi.ch's password: 
<user>@sshserver.psi.ch's password:
[<user>@sshserver ~]$  

mkdir ~/.ssh/tmp
touch ~/.ssh/config
chmod 600 ~/.ssh/config

ControlMaster auto 
ControlPath   /home/<user>/.ssh/tmp/%h_%p_%r
Protocol 2
 
# The following can also be specified in the host-based sections below.
ForwardX11 yes 
ForwardX11Trusted yes
ForwardAgent yes 

host hop hop.psi.ch
     hostname hop.psi.ch
     user <PSI-user>

host sshsrv1-psi-internal
     hostname sshserver1.psi.ch
     user <user>
     ProxyCommand ssh -A -W %h:%p hop.psi.ch

host sshsrv2-psi-internal
     hostname sshserver2.psi.ch
     user <user>
     ProxyCommand ssh -A -W %h:%p hop.psi.ch

host sshsrv3-psi-internal
     hostname sshserver3.psi.ch
     user <user>
     ProxyCommand ssh -A -W %h:%p hop.psi.ch

$ ssh <user>@hop.psi.ch  
$ <user>@hop.psi.ch's password:

$ ssh sshsrv1-psi-internal  
$ <user>@sshserver1.psi.ch's password:

$ ssh sshsrv2-psi-internal  
$ <user>@sshserver2.psi.ch's password:

$ ssh sshsrv2-psi-internal  
$ <user>@sshserver3.psi.ch's password:

Auch hier gibt es wieder verschiedene Varianten, die nachfolgend erläutert werden.

Variante 1, Kommandozeile

ssh -L 9000:winterm3.psi.ch:3389 <user>@hop.psi.ch
$ <user>@hop.psi.ch's password:

Nach dem Login wurde auf dem lokalen Client Port 9000 geöffnet. Wenn man jetzt mit einem RDP-Client auf diesen Port eine Verbindung aufbaut, wird diese durch den Tunnel, über hop.psi.ch an winterm3.psi.ch weitergleitet. Z. B. mit

$ rdesktop localhost:9000

Variante 2, Anpassen der .ssh/config
Bei Usern, die öfters verschiedene Verbindungen (RDP, SMB, etc.) zu Systemen im PSI-LAN aufbauen möchten, empfiehlt sich die Anpassung der SSH-Konfiguration auf dem Client.
 

Tipp Damit nicht jedes Mal die Konfiguration im Browser geändert werden muss, empfiehlt es sich bspw. auf einem Notebook zwei Browser zu verwenden. Z. B. Firefox für Zugriffe von ausserhalb des PSI via hop.psi.ch. Und den InternetExplorer für Zugriffe innerhalb des PSI ohne einer Verbindung über hop.psi.ch.

Beispiel Unix

Variante 1, Kommandozeile

ssh -D 9999 <user>@hop.psi.ch
$ <user>@hop.psi.ch's password:

Nach dem Login wurde auf dem lokalen Client Port 9999 geöffnet. Diesen Port kann man nun als Socks-Proxy verwenden. Siehe Beschreibung Windows.

Variante 2, Anpassen der .ssh/config
Für die Anpassung der SSH-Client-Konfiguration muss die Zeile

DynamicForward 9999 

eingefügt werden.

SSH-Client-Konfigurations-Datei (siehe oben) anpassen:

~/.ssh/config

ControlMaster auto 
ControlPath   /home/<user>/.ssh/tmp/%h_%p_%r
Protocol 2
 
# The following can also be specified in the host-based sections below.
ForwardX11 yes 
ForwardX11Trusted yes 
ForwardAgent yes 

host hop.psi.ch
     hostname hop.psi.ch
     user <PSI-user>
     DynamicForward 9999
     # Forward RDP to winterm3.psi.ch
     LocalForward 9000 winterm3.psi.ch:3389
     # Forward RDP to pc8699.psi.ch
     LocalForward 9001 pc8699.psi.ch:3389
     # Forward SMB to Fileserver fsX.psi.ch
     LocalForward 9445 fsX.psi.ch
...

Sobald die Verbindung zu hop.psi.ch aufgebaut wurde, steht der lokale Tunnelport 9999 für das dynamische Tunneling zur Verfügung.

Hinweis für Mac-OSX User
Wenn man interne Webseiten mit Hilfe des Safari-Browsers aufrufen möchte, muss die Socks-Proxy-Nutzung über die Netzwerkeigenschaften aktiviert werden. In den Netzwerkeigenschaften kann bei der entsprechenden Netzwerkverbindung unter Advanced -> Proxies die Verwendung des Socks-Proxys auf Port 9999 aktiviert und eingestellt werden.

[user@hop ~]$ ssh user@targethost
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the RSA key sent by the remote host is
6e:45:f9:d8:af:33:3d:a1:a5:c7:76:1d:02:f8:77:00.
Please contact your system administrator.
Add correct host key in /home/user/.ssh/known_hosts to get rid of this message.
Offending RSA key in /home/user/known_hosts:4
RSA host key for targethost has changed and you have requested strict checking.
Host key verification failed.

1. Das Zielsystem wurde neu installiert (deshalb wurde der SSH-Hostkey neu erzeugt)
2. Der Verantwoertliche des Zielsystems hat absichtlich einen neuen SSH-Hostkey erzeugt.

[user@hop]$ kd
usage: kd [host or IP]
   This program will delete a host key from your ~/.ssh/known_hosts.
   You should use this program when a destination host has been rebuilt,
   or the host SSH key on that system has been regenerated.
   Example usage:

     [user@hop]$ kd mybox
     # Host mybox found: line 2 type ECDSA
     /home/user/.ssh/known_hosts updated.
     Original contents retained as /home/user/.ssh/known_hosts.old
     [user@hop]$

   *NOTE* You are required to accept the host's SSH key again on the next connection!
   Please bear this in mind when executing your next tunnel to the destination host!

[user@hop]$ 

[user@hop]$ kd targethost
# Host targethost found: line 4
/home/user/.ssh/known_hosts updated.
Original contents retained as /home/user/.ssh/known_hosts.old

[user@hop]$ ssh targethost
The authenticity of host 'targethost (129.129.123.123)' can't be established.
ECDSA key fingerprint is f5:64:8e:a4:f1:6f:dc:c3:57:01:e6:e8:ec:ae:95:ff.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added 'targethost,129.129.123.123' (ECDSA) to the list of known hosts.
user@targethost's password: 
[user@hop]$