SSH jumphost sem contas de usuário no jumphost

Question

Eu tenho uma máquina de hospedagem VM que fornece várias VMs. Cada VM possui um intervalo de portas próprio encaminhado e cada VM expõe o VNC. O problema é que o host tem apenas 1 IP público e as VMs são diferenciadas com base no intervalo de portas. http e https é fácil porque nginx pode ser usado para executar roteamento baseado em nome de host. Mas um dos usuários está por trás da rede com firewall, que permite apenas as portas 22, 80 e 443, portanto ele não pode se conectar à VM, pois sua porta ssh está bloqueada.

É possível configurar o roteador / proxy SSH permitindo saltar para VMs sem realmente criar contas funcionais para cada usuário na máquina host da VM?

    

Answer 1

Adoro usar o zerotier (versão gratuita para mim atm) para criar minhas próprias redes privadas. Eu uso para atravessar o NAT e a configuração é feita na webUI. Funciona como uma rede privada virtual (a ferramenta mais próxima que eu sei é o hamachi) e também é possível criar redes virtuais públicas .

Pode criar redes Ethernet virtuais de tamanho quase ilimitado.

Você executa zt como um cliente e seu sistema terá uma interface de rede virtual "zt". Então você cria seu próprio ambiente de rede e autoriza os 'clientes' no webui (para redes privadas). Cada cliente terá seu próprio endereço IP (ou vários, de acordo com sua configuração) conectado na interface virtual 'zt'.

Funciona criando uma interface de rede zt virtual para cada rede unida ( zt0, zt1, etc com os IPs aos quais você atribui (vários IPs são possíveis por interface). As redes podem ser privadas ou públicas.

editar: Esta não é uma resposta direta à pergunta sobre jumphosts, mas é uma solução alternativa, eliminando a necessidade de encaminhar portas. Em vez de encaminhar cada instância vnc para seu próprio intervalo de portas, com zt você pode apenas atribuir um IP individual a cada instância vm em sua própria rede privada, executando em uma porta padrão.

    

Answer 2

Se você quiser usar um jumphost, defina o shell como / bin / false. Provavelmente, outras preocupações de segurança também precisam ser abordadas. Por exemplo, você deve desabilitar o GatewayPorts no jumphost e também de alguma maneira impedir os túneis sem impedir o -W do host de destino.