zilia 27 мар 2011 в 21:02

SSH-туннель домой без необходимости оставлять включённым домашний ПК

5 мин

216K

Информационная безопасность *

+209

100

Комментарии 100

tormich 27 мар 2011 в 21:17

Спасибо! Как то сам недопетрил, включать комп через роутер. Пойду реализовывать.

Tqb 27 мар 2011 в 21:32

Попробуйте просто не выключать )

tormich 27 мар 2011 в 21:35

Пробовал, жрет электричество, сволочь! :)

VaMpir 27 мар 2011 в 22:14

Wake-on-Lan Вас спасет :)
ru.wikipedia.org/wiki/Wake-on-LAN
Если не ошибаюсь, в dd-wrt есть поддержка

seleko 28 мар 2011 в 05:40

У меня так и не заработало. Пытался включать комп с ноута через WiFi.
Так и не осилил почему wifi мешает.

helsiby 28 мар 2011 в 06:19

WiFi никак этому мешать не должен. Главное включить WOL в биосе (обычно все современные материнские платы его имеют на борту) и сформировать правильный magic-пакет (например под линуксом маленьким перловым скриптиком из репов: wakeonlan -i hostname mac-address)

klirichek 3 окт 2011 в 10:37

Помимо этого имеет смысл посмотреть скрипты (на linux) выключения.
Например, в Ubuntu по умолчанию сетевой интерфейс выключается полностью и ни на какие команды WOL уже не реагирует.
Речь идёт конкретно о /etc/init.d/halt — там вверху определяется параметр NETDOWN, который влияет на то, будет ли в итоге вызвана команда halt с ключиком -i, или без оного.

DLag 28 мар 2011 в 06:44

Если использовали для включения канал по WiFi то естественно ничего не выйдет.
Для работы WiFi нужно:
1. Активная WiFi карта
2. Включение в нужную WiFi-сеть
Сомневаюсь что это возможно без запущенной ОС в наше время.

zilia 28 мар 2011 в 07:06

Всё не так плохо, но, конечно, ограничения пока очень существенные.

selenite 28 мар 2011 в 13:54

Мне непонятно, почему все производители, в упор орущие про «зеленые» стандарты, соответствия всяким требованиям etc — который год не могут сделать на базе этого стандарта пассивное прослушивание эфира в ожидании пакета с заданными параметрами.

Принес домой ноут — роутер его услышал и включил вайфай. Унес/выключил — роутер выключился. Так нет же, для включения сети надо сначала подтыкать езернет.

seleko 28 мар 2011 в 07:20

Я наверное недостаточно описал. Будил сервак, подключенный к роутеру кабелем. Источник побудки — нотег. Этот-же нотег, подключенный кабелем будит на ура! А когда через wifi — нифига.
Сниферить поленился конечно :)

zilia 28 мар 2011 в 07:30

Есть идея будить комп с нотика так:
Заходим в вебморду роутера Administration->WOL и радуемся тому, что можно просто нажать кнопку «Wake UP» и не надо мучиться с отсылкой MagicPacket по воздуху.

seleko 28 мар 2011 в 07:39

Хочется понять почему пакетик не идёт по wifi…

zilia 28 мар 2011 в 07:41

Потому что где-то «недобридж»…

seleko 28 мар 2011 в 07:43

Очень даже бридж. «Не верю».
Но всё равно проверю дома.

selenite 28 мар 2011 в 13:55

А также собирает на кулерах всю доступную пыль с кошачьми волосами. Про то, что БП дохнут сверхбыстро, можно же не говорить.

zilia 28 мар 2011 в 06:42

Топик, не столько о том как включить комп удалённо, сколько о том как его вообще не включать.
А пресловутый WOL я упоминал в тексте неоднократно, и это лишь одна из клёвых плюшек, которые Вы можете получить от домашнего роутера.

kagen 27 мар 2011 в 21:28

Ещё можно использовать proxyfire, он позволяет практически любое приложение отправить через прокси, например то же rdp, правда платный =(

kekekeks 27 мар 2011 в 21:37

А бесплатный sockscap разве не умеет делать то же самое?

kmeaw 27 мар 2011 в 21:38

SocksCap V2 тоже может, и он бесплатный.

jmax 27 мар 2011 в 21:28

Годно, респект огромный

ftp27 27 мар 2011 в 21:29

Ухты. Это будет удобно. Домашние часто пинают за постоянно включенный комп дома :) Теперь проблема будет решена. Спасибо!

prox 28 мар 2011 в 11:25

Часто бывает что нужен удаленный доступ к домашнему компу на 5 минут.
Фраза «дома никого, но комп сейчас включу», даже более менее разборчивых пользователей ПК уносит в ступор на минуту :)

ps: wrt+wol

Screatch 27 мар 2011 в 21:30

Опечалился что мой Thomson 585 v7 не поддерживает DD-WRT :(

zilia 27 мар 2011 в 21:52

Надежда есть, работа идёт.

Screatch 27 мар 2011 в 22:02

Проще купить например такую железку — www.dealextreme.com/p/2-4ghz-300mbps-802-11n-wlan-wifi-wireless-broadband-router-29662

Чем проходить через танцы с бубном по ссылке.

zilia 27 мар 2011 в 22:07

Угу, а старую продать ;)

НЛО прилетело и опубликовало эту надпись здесь

Webtun 27 мар 2011 в 21:36

Спасибо за полезную статью!

Уважаю!

phasma 27 мар 2011 в 21:55

а не проще ipv6 использовать?

phasma 27 мар 2011 в 22:02

да, и если использовать *WRT, то можно скачать тулчейн и собрать все что душе угодно. Единственная проблема у меня была, допаять память в Asus WL500. Достаточно прочитать мануал по сборке пакетов и поставить туда хоть сквид(который там кажется уже есть).

phpcmsdev 27 мар 2011 в 22:07

для тех кто хочет перебросить порт mysql на локальную машину и юзать heidisql или другие gui для администрирования

BigD 28 мар 2011 в 09:33

server to client туннель вообще рулит.

чертовски удобно с айфона, силя на диване, подключиться к рабочему компу по RDP, который находится в «сверхзащищенной» корпоративной сети с фаерволами и т.д.

selenite 28 мар 2011 в 13:51

+ 1, но сверхзащищенная сеть может спокойно использовать какой-нибудь «черный ящик», который работает на уровне данных, не протокола => никакого туннеля не получится. А уж если по ходу работы защищенной сети в ней не отслеживаются «внезапно» появляющиеся баннеры OpenSSH — админа пора увольнять.

zilia 28 мар 2011 в 13:55

Не стоит сгущать краски. Много ли чёрных ящиков могут разглядеть баннер в шифрованном потоке?

selenite 28 мар 2011 в 14:04

Баннер иногда не шифруется, черный ящик (даже слепленный на скорую руки из snort'а) для того и нужен, чтобы наружу шли только короткие, не похожие на туннель запросы, а для фильтрации HTTPS при известных сертификатах клиента-сервера можно написать декодер и выборочно резать остальное. Админа уволить, нечего на работе тратить время на поднятие fingerd.

zilia 29 мар 2011 в 06:36

ИМХО, практика показывает, что не во всех даже банковских и военных сетях есть люди, у которых есть соответсвующий стимул и знания. Ну, и, если уж говорить о высоких материях, то и со стороны человека, пробивающего туннель, при наличии прямых рук, обнаружить слежку или «ящик» не составит труда.
В общем, я же говорил в топике про одно утверждение, что оно «толстое». Так, что мы оба в чём-то правы.
А адимна увольнять не надо, он и без фингера, ещё много чего не сделал и не сделает никогда — ибо есть вещи по-важнее ;)

BigD 29 мар 2011 в 05:48

Пора… Самое забавное, что на это даже админских прав на компе не надо — на все есть portable софт. Главное, чтобы 443 порт был открыт.

НЛО прилетело и опубликовало эту надпись здесь

5hr4M 27 мар 2011 в 23:41

У меня такая технология реализована…
Работает так… «Алло… Мам, включи сервер.» :)

Lucky_Student 28 мар 2011 в 12:00

Эта технология на самом деле называется Wake-on-mom.
Самое главное — правильно ее сконфигурировать.
Иначе может случиться что угодно, вплоть до выхода сервера из строя. :)

selenite 28 мар 2011 в 13:48

если интересует, могу раскрыть тему, но придется немного попаять :)

НЛО прилетело и опубликовало эту надпись здесь

zilia 29 мар 2011 в 06:43

Я видел и ковырял подобную систему и без пайки. Просто у человека дома есть маааленький VoIP шлюзик…

BigD 29 мар 2011 в 18:42

А подробнее про использование шлюзика для такого решения?

zilia 30 мар 2011 в 07:08

Ну, то что мы ковыряли, была система от «мсье которые знают толк» =)
SIP-ATA (шлюз это слишком гордо для той железки) получал звонок от PSTN и направлял на WRT-роутер с Asterisk-прошивкой, который в свою очередь по набору спецпоследовательности выполнял скрипт WOL.

Но, на вскидку могу развить тему:
Варианты:
1) Астериск набирает внутренний экстеншн на котором висит другой SIP-ATA, на FXS которого висит обычный модем, с поддержкой WOR, подключенный к целевому хосту для побудки.
2) Есть нормальный шлюз с несколькими портами FXS, к одному из которых подключен модем.
3) Есть шлюз или ATA (я правда таких не видел), который-таки сам в родной прошивке умеет WOL.

Но Wake-on-Mom/Wife/Bro/Dog всё-таки дешевле и проще =)

pietrovich 27 мар 2011 в 23:16

Ай, спасибо за KiTTY! Притомили меня зависания PuTTY на win 7 x64 в случае обрыва соединения по таймауту. Типа спать уложил комп, будишь и все окна PuTTY виснут, вместо того чтобы просто порвать сессию и откликаться на попытки закрыть/рестартануть сессию.
Буду пробовать KiTTY ;)

5hr4M 27 мар 2011 в 23:42

Да… по аналогичной причине решил тоже на него перейти…

ValdikSS 28 мар 2011 в 04:45

watch date, либо keep-alive настройте.

pietrovich 28 мар 2011 в 09:16

это заставит PuTTY реагировать на Alt+F4/нажатие крестика после обрыва? Меня ведь не сами обрывы расстраивают, меня волнует что после обрыва я не могу нормально закрыть клиент.

AxisPod 28 мар 2011 в 04:08

KiTTY давно сам использую, вещь хорошая, а вот по поводу роутеров хотелось бы добавить, с прошивкой dd-wrt на RT-N16 порядочно подтормаживает VPN подключение, пока терплю и юзаю родную.

zilia 28 мар 2011 в 06:50

А другие версии/сборки *WRT/tomato/Gargoyle не пробовали? Или можно провайдера тряхнуть, на предмет более простого VPN. Была у меня как-то история с какой-то домушной сеткой, где всем делали OpenVPN, но по PPTP тоже но было подключиться без проблем — стоило только попросить.

AxisPod 28 мар 2011 в 10:18

Другие не пробовал, спасибо за названия, погляжу, а то сейчас родная прошивка гоняется и сервак на базе atom, но он далеко не всегда нужен. Ну вот вроде как в dd-wrt именно с PPTP проблема, родная прошивка на всю катушку раздает, а вот dd-wrt резала скорость.

Bambr 28 мар 2011 в 11:46

Прошивку энтузиастов не пробовали? Там вроде как повеселее в этом плане, если верить форуму.
У меня VPN не используется, но каких-то проблем с прошивкой пока не заметил

amario 28 мар 2011 в 04:34

Интересующимся данной тематикой, могу посоветовать покопаться в сторону icmp tunneling.

По статье скажу, что автор, правильно сделал акцент на генерацию ключа, посредством Putty, так как если ваш роутер умеет генерировать ключи не факт, что он заработает все с тем же Putty, сей факт был замечен не на SOHO-оборудовании, а на дешевом энтерпрайзе.

BigD 28 мар 2011 в 06:00

А просто конвертация между форматами PuTTY/OpenSSH не помогает? При помощи Puttygen…

amario 28 мар 2011 в 09:10

Не скажу, не знаю. Знаю только, что к примеру генерировал ключи с помощью putty, использование их в SecureCRT без лишних телодвижений. Так что, думаю проблема не в разных форматах ключей PuTTY/OpenSSH.

BigD 28 мар 2011 в 09:20

Ну, у PuTTy и OpenSSH однозначно разные форматы.

ValdikSS 28 мар 2011 в 04:49

Под линукс есть transocks_em и transocks_ev. Они как бы поднимают NAT сервер и перенаправляют запросы через socks5 прокси, средствами iptables делается перенаправление на определенный порт и все приложения идут через прокси. Работает куда стабильнее юзерспейс-штучек с подгрузкой библиотек-врапперов (tsocks, proxychains, dante)

BigD 28 мар 2011 в 06:00

Не напишете топик?

ValdikSS 28 мар 2011 в 06:02

Если хотите — напишу

BigD 28 мар 2011 в 06:03

Было бы неплохо.

hlorofos 28 мар 2011 в 06:57

да, было бы очень интересно. костыли-обертки socks5 глючат и канючат =)

ThePretender 28 мар 2011 в 05:03

Недавно запилил у себя на фряхе небольшой похапе-скриптик, который шлёт волшебный пакет на основной стационар. Получилось отличное решение для ситуаций, когда корпоративный прокси режет любой трафик, кроме HTTP и RDP.

iff 28 мар 2011 в 05:06

Немного сложнее, если роутер стоит за натом провайдера. Здесь нужен сервер с реальным ip, достаточно самого дешевого VDS.
Роутер поднимает ssh туннель с сервером в инете, например, так:
ssh -R 2200:localhost:22 username@x.x.x.x
Авторизация роутера на сервере настроена по ключам, чтобы пароль не просил.
Я также соединяюсь с этим сервером по ssh на определенный порт и попадаю на домашний роутер за натом:
ssh username@x.x.x.x -p 2200
Такая схема у меня работает уже полтора года.

hlorofos 28 мар 2011 в 06:59

вот, этот пост стоил того, чтобы тут появился этот комент. я использовал teamview на локальные машины за nat'ом. теперь пробью туннель с роутера и буду чуствовать себя метростроевцем =)

zilia 28 мар 2011 в 07:01

Только трафик у самого дешевого VDS хорошо бы отслеживать.

GreyCat 28 мар 2011 в 08:13

Угу. Только делать это стоит не руками — для это всякие autossh есть. Иначе этот туннель до первого пропадания соединения.

iff 28 мар 2011 в 11:20

Ну, я autossh и использую. Просто для понимания процесса привел команды для ручного подключения.

baxtep2 28 мар 2011 в 08:30

а разве статик ip купить не дешевле чем VDS?

zilia 28 мар 2011 в 08:33

Примерно одинаково, но не все провайдеры могут оказать такую услугу даже за деньги.
Говоря «Ваш провайдер предоставляет Вам внешний IP адрес.», я не имел ввиду обязательно задарма.

iff 28 мар 2011 в 11:21

Мой провайдер не дает реальные адреса. Так бы и проблемы никакой не было.

Bambr 28 мар 2011 в 11:52

У меня провайдер продает эти долбаные статики по 250 рублей. И ладно бы провинция — нет, 5 км от мкада. Совсем нюх потеряли. Так что туннель с роутера наше все.

Castle 28 мар 2011 в 05:20

Вещь полезная, но лучше не буду издеваться над своим роутером, менять прошивку. И так еле дышит малыш…

zilia 28 мар 2011 в 07:02

Возможно Вы подарите ему второе дыхание ;)

theslim 28 мар 2011 в 07:16

Жаль, ADSL роутеры не держат прошивы, типа DD-WRT ((

MrNobody 28 мар 2011 в 07:28

А что мешает поставить предоставляемый провайдером ADSL роутер в бридж а за ним например DIR-615?

zilia 28 мар 2011 в 07:31

Видимо, жаба…

jack7277 28 мар 2011 в 07:35

Швайнехуд из воскресного топика )))

zilia 28 мар 2011 в 07:48

Точно, спасибо за наводку :)

theslim 28 мар 2011 в 10:02

Наличие лишних денег)
Провайдер, к сожалению, не предоставил ADSL роутер.

zilia 28 мар 2011 в 10:06

Бинго! Я угадал :D
_{Просто поменяйтесь с кем-нибудь, кому пофигу и всего делов.}

SovGVD 28 мар 2011 в 08:24

«Необходимое условие — Ваш провайдер предоставляет Вам внешний IP адрес.»
эх, а как всё хорошо начиналось, для себя выбрал другой путь — не кто-то до роутера, а роутер до кого то пинается ssh тунелем, а уже как допинается (сервер в интернете например) — начинается сказка, особенно если компы с нормальным ssh клиентом и сервером (привет Linux)

BigD 28 мар 2011 в 08:54

JIC: www.depicus.com/wake-on-lan/wake-on-lan-cmd.aspx — отличнейший WOL сервис.

Пробросить порт на роутере и всего делов.

BigD 28 мар 2011 в 08:55

Точнее, www.depicus.com/wake-on-lan/woli.aspx

zilia 28 мар 2011 в 09:00

Спасибо, добавил к топику, как вариант.

dmitskevich 28 мар 2011 в 10:04

альтернатива собственного производства: profiles.google.com/DMitskevich/posts/NnWhTNT91C9
чтобы не держать компьютер в рабочем состоянии, я его просто «усыпляю». как только я подключаюсь к нему по туннелю, он «просыпается». (видимо срабатывает Wake on LAN :)

zilia 28 мар 2011 в 10:12

… с Вашего позволения, вот прямые ссылки на суть (подобное уже было в топике) и источник вдохновения. А срабатывает не совсем WOL, но очень похожий механизм без MP.

dmitskevich 28 мар 2011 в 10:15

я сразу на «сути» не выкладывал линки, так как если кому понадобится, то в Buzz можно оставить вопрос или комментарий. А «сути» таких возможностей не содержат :)

tossshik 28 мар 2011 в 13:17

>Необходимое условие — Ваш провайдер предоставляет Вам внешний IP адрес.
Спасибо, на этом мне, собственно, можно прекращать чтение :)

yruslan 28 мар 2011 в 14:15

Включить таким образом комп, конечно, не получится, но доступ по ssh получить можно. Использую Hamachi для VPN через NAT, FreeSSH как ssh-сервер. Для управления рабочим столом — TightVNC. Для копирования файлов — WinSCP.

reanimatorzon 28 мар 2011 в 20:02

А я вот не прекратил чтение, а обратил внимание на DynDns. Пять минут назад запустил свой home server удаленно не зная IP. Так что я бы не сказал, что условие необходимо. Еще как обходимо.

BigD 29 мар 2011 в 05:44

'Внешний IP адрес' != 'Статический IP адрес'

tossshik 29 мар 2011 в 06:14

Сервисы вроде DynDNS позволяют обходить отсутствие статического внешнего IP. Если адрес внутренний и запросы в интернет идут через NAT, то они ничем не помогут. Видимо, вам повезло.

reanimatorzon 28 мар 2011 в 19:59

Благодарю за пост. До сегодняшнего дня думал, что для «магии» и «магических пакетов» нужно специальное дорогое железо. Оказалось, что казалось. Теперь своим домашним железом могу с Nokia 5800 управлять. Грац!

Terentich 31 мар 2011 в 10:48

Спасибо большое за статью — она действительно получилась очень полезной.
Возникло два вопроса к Вам и к публике:

В п. 2 «Путь домой»:

Теперь Вам надо помнить только хост (кстати, даже если IP у вас статический, можете так сделать простой для запоминания адресок, а то вдруг провайдер поменяется или случится переезд)."

Зашел на сайт i.net, но я так и не понял как зарегистрировать там домен.
Или неправильно Вас понял? Подскажите, пожалуйста.
Хотел для своего IP зарегистрировать в сети домен бесплатный, однако удалось это сделать только в домене *.co.cc
Все остальное платное. Может кто-нибудь может сообщить и другие бесплатные домены? Буду очень признателен.

zilia 31 мар 2011 в 11:23

1. i.net — просто запомнить. Это одно из пасхальных яиц в статье ;)
2. Например proit.com.ua/internet/2006/09/22/124859.html — их как грязи. Посмотрите хоть список у себя в роутере для начала ;)

Terentich 31 мар 2011 в 11:27

Сглупил. Спасибо.
Забыл уточнить, что у меня статический IP адрес. Т. е. вопрос сводится к доступным бесплатным доменам (желательно, второго уровня).

pahaz 11 фев 2016 в 09:44

Есть простой способ пробросить ssh туннель для любителей Python. (работает в windows)

botva0 31 авг 2016 в 10:58

спасибо, про ssh полезно.
печально только, что без танцев с бубном dd-wrt не дружит с pptp и pppoe. поэтому, если провайдер не отдает ип через dhcp, то нужно писать еще один трактат на тему как настроить dd-wrt длоя работы с pppoe.

Зарегистрируйтесь на Хабре, чтобы оставить комментарий