Stránka 1 z 2
Reverzní ssh tunel na Mikrotiku
Napsal: 17 Sep 2018 17:23
od radekpaos
Ahoj,
dá se nějak v routeros vytvořit reverzní ssh tunel? Myšleno z mikrotiku na ssh server na veřejné IP s tím, abych mohl přistoupit z tohoto ssh serveru k mikrotiku. Mikroik není na veřejné ip dostupný a potřebuji se k němu občas dostat. Povolit porty pro přístup z vnějšku nejde. V záloze pak mám na mikrotiku openvpn klienta, ale to mi příjde složitější a robustnější řešení na to co potřebuju. Díky
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 17 Sep 2018 17:41
od Cheprer
Tunel považují za více secure.
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 17 Sep 2018 22:19
od radekpaos
?
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 17 Sep 2018 22:31
od Machca
máš možnost přihlásit se přes winbox tam dáš tool ssh ip adresu vnitřního mk a uživatele,
nebo si ve firewallu přenatuj libovolný port na port 22 vnitřního mikrotiku
a připojuj se na tomto portu třeba přes putty
Kód: Vybrat vše
add chain=dstnat action=dst-nat to-addresses=XXX.XXX.XXX.XXX to-ports=22 protocol=tcp dst-address=XXX.XXX.XXX.XXX dst-port=2222 log=no log-prefix=""
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 17 Sep 2018 22:36
od ludvik
bych řekl, že jsi ho naprosto vůbec nepochopil.
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 17 Sep 2018 23:04
od radekpaos
přesně, nepochopil. já potřebuji iniciovat to spojení z mikrotiku, ke kterému se nedostanu z vnějšího světa:) proto reverzní ssh...
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 18 Sep 2018 00:27
od ludvik
ssh je secure shell. A jako takový je pro tento účel nepoužitelný. Sice lze používat forwarding portů, čili v podstatě VPN, ale nevím o tom jak to použít v ROS.
Nevymýšlej šílenost, použij něco co je na to přímo stavěné
ROS toho umí docela dost.
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 18 Sep 2018 07:57
od radekpaos
Jde i o jednoduchost a reverzni ssh je bezna vec. Jen jak se zda ros jej neumi. Asi skoncim na openvpn klientovi na strane mikrotiku. Ale to mi prijde fakt kanon na vrabce. Neco co jde vyresit jedim prikazem bez zbytecnych prenosu okolo resit velkou vpnkou.
Nebo mas na mysli neco jineho vyjma vpn?
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 18 Sep 2018 10:05
od Matess
delam to pres vpn...
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 18 Sep 2018 10:31
od radekpaos
v této souvislosti se zeptám ještě na jednu věc, neřešili jste někdo spuštění openvpn klienta na základě nějaké podmínky, třeba že na stránce na veřejném webu je nějaká hodnota? Prostě spustit openvpn klienta jen pokud je splněna nějaká vnější podmínka.
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 18 Sep 2018 10:58
od Machca
I am sorry za nepochopení, co zkusit to nějakym scriptem ? Blbě jsem četl
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 18 Sep 2018 11:21
od radekpaos
Skriptem asi jo. Blbě jsem to možná napsal - jde mi o to, aby ten openvpn klient běžel jen tehdy, pokud chci. jenže jedinou možností je nastavit něco vně, kam si může mikrotik šáhnout. Něco jako skript v cronu:
1. zkontroluj něco (hodnota na webu??? někde uložené něco třeba na ftp??)
2. pokud je podmínka splněna, spusť open vpn
3. pokud není podmínka splněna, končím
Dá se to různě zesložiťovat, ale princip je tento
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 18 Sep 2018 11:32
od ludvik
To už napsat určitě jde. Příkaz fetch existuje. Ale možná bych neshazoval VPNku celou, ale jen ovlivňoval firewall (např. address-listem).
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 18 Sep 2018 21:27
od radekpaos
dík, pustím se do toho:)
Re: Reverzní ssh tunel na Mikrotiku
Napsal: 19 Sep 2018 11:31
od rsaf
Příklad jak použít fetch je přímo na wiki Mikrotiku
https://wiki.mikrotik.com/wiki/Manual:T ... a_variableKód: Vybrat vše
{
:local result [/tool fetch url=http://mujserver.net/vpnenable.php as-value output=user];
:if ($result->"status" = "finished") do={
:if ($result->"data" = "1") do={
/interface ethernet set ovpn-out1 disabled=no;
} else={
/interface ethernet set ovpn-out1 disabled=yes;
}
}
}
ludvik píše:To už napsat určitě jde. Příkaz fetch existuje. Ale možná bych neshazoval VPNku celou, ale jen ovlivňoval firewall (např. address-listem).
Mohu se zeptat proč neshazovat VPN klienta jednoduchým enable/disable toho interface a komoplikovat si to nějakými fw pravidly ?