túnel SSH na porta diferente de 22 em OSX

Question

Estou tentando acessar dois servidores VNC de máquinas diferentes, localizados na mesma rede local da WAN.

Como gostaria que o tráfego fosse roteado em um túnel SSH, estou usando ssh [email protected] -N -L 15900:127.0.0.1:5900 e depois vnc://[email protected]:15900 , sem problemas para a primeira máquina.

Para a segunda máquina, marquei a porta 2222 para a porta 22 do IP desta máquina no meu roteador. O NAT também é configurado para encaminhar a porta 5900 para o IP da primeira máquina. e a porta 5901 para a porta 5900 do IP da segunda máquina.

Eu presumi que ssh -p2222 [email protected] -N -L 15901:127.0.0.1:5901 e depois vnc://[email protected]:15901 funcionaria, mas isso não acontece.

O shell em que estou executando o comando ssh -p2222 [email protected] -N -L 15901:127.0.0.1:5901 produz:

channel 2: open failed: connect failed: Connection refused

quando tento VNC na máquina.

Eu tentei ssh -v -p2222 [email protected] -N -L 15901:127.0.0.1:5901

e eu recebi:

OpenSSH_6.2p2, OSSLShim 0.9.8r 8 Dec 2011
debug1: Reading configuration data /etc/ssh_config  
debug1: /etc/ssh_config line 20: Applying options for *  
debug1: /etc/ssh_config line 102: Applying options for *  
debug1: Connecting to xxxxx.net [xx.xx.xx.xx] port 2222.  
debug1: Connection established.  
debug1: identity file /Users/admin/.ssh/id_rsa type 1  
debug1: identity file /Users/admin/.ssh/id_rsa-cert type -1  
debug1: identity file /Users/admin/.ssh/id_dsa type -1  
debug1: identity file /Users/admin/.ssh/id_dsa-cert type -1  
debug1: Enabling compatibility mode for protocol 2.0  
debug1: Local version string SSH-2.0-OpenSSH_6.2  
debug1: Remote protocol version 2.0, remote software version OpenSSH_5.2  
debug1: match: OpenSSH_5.2 pat OpenSSH_5*  
debug1: SSH2_MSG_KEXINIT sent  
debug1: SSH2_MSG_KEXINIT received  
debug1: kex: server->client aes128-ctr hmac-md5 none  
debug1: kex: client->server aes128-ctr hmac-md5 none  
debug1: SSH2_MSG_KEX_DH_GEX_REQUEST(1024<1024<8192) sent  
debug1: expecting SSH2_MSG_KEX_DH_GEX_GROUP  
debug1: SSH2_MSG_KEX_DH_GEX_INIT sent  
debug1: expecting SSH2_MSG_KEX_DH_GEX_REPLY  
debug1: Server host key: RSA xx:xx:xx:xx  
debug1: Host '[xxxxx.net]:2222' is known and matches the RSA host key.  
debug1: Found key in /Users/admin/.ssh/known_hosts:60  
debug1: ssh_rsa_verify: signature correct  
debug1: SSH2_MSG_NEWKEYS sent  
debug1: expecting SSH2_MSG_NEWKEYS  
debug1: SSH2_MSG_NEWKEYS received  
debug1: Roaming not allowed by server  
debug1: SSH2_MSG_SERVICE_REQUEST sent  
debug1: SSH2_MSG_SERVICE_ACCEPT received  
debug1: Authentications that can continue: publickey,keyboard-interactive  
debug1: Next authentication method: public key  
debug1: Offering RSA public key: /Users/admin/.ssh/id_rsa  
debug1: Server accepts key: pkalg ssh-rsa blen 535  
debug1: read PEM private key done: type RSA  
debug1: Authentication succeeded (public key).  
Authenticated to xxxxx.net ([xx.xx.xx.xx]:2222).  
debug1: Local connections to LOCALHOST:15901 forwarded to remote address 127.0.0.1:5901  
debug1: Local forwarding listening on ::1 port 15901.  
debug1: channel 0: new [port listener]  
debug1: Local forwarding listening on 127.0.0.1 port 15901.  
debug1: channel 1: new [port listener]  
debug1: Requesting [email protected]  
debug1: Entering interactive session.  
debug1: Connection to port 15901 forwarding to 127.0.0.1 port 5901 requested.  
debug1: channel 2: new [direct-tcpip]  
channel 2: open failed: connect failed: Connection refused  
debug1: channel 2: free: direct-tcpip: listening port 15901 for 127.0.0.1 port 5901, connect from 127.0.0.1 port 51974, channels 3  

Alguém tem alguma ideia?

    

Answer 1

Se eu entendi o layout da rede corretamente, você está entendendo mal como o túnel SSH interage com o NAT. Basicamente, uma vez que o roteador NAT tenha enviado sua conexão SSH do IP externo: 2222 para o privado IP1: 22, o NAT fez sua parte e está fora da equação.

Para obter uma conexão VNC ao segundo computador interno, é necessário tunelar uma conexão que vai da porta 15901 no computador local, pela conexão SSH ao primeiro computador interno e, em seguida, de lá para o segundo computador interno. computador. Você faz isso com ssh -p2222 [email protected] -N -L 15901:privateIP2:5900 .

A parte "privateIP2: 5900" é o que você está perdendo; sua versão está dizendo ao primeiro computador para encaminhar a conexão para si mesmo (127.0.0.1) na porta 5901; não há nada lá, então é rejeitado.

Você não quer a caixa NAT encaminhando as portas 5900 e 5901 para qualquer coisa - que deixaria qualquer VNC nesses computadores de qualquer lugar e ignoraria completamente o túnel SSH.

    

Answer 2

Você digitou o erro no último comando:

vnc://[email protected]:159001

deve indicar

vnc://[email protected]:15901