Como se conectar a um servidor SSH por trás de um firewall usando outro servidor?

Question

Eu tenho 2 servidores e a rede é assim:

Server_A (Ubuntu) -> Firewall/Router -> Internet

O Server_A pode se conectar a qualquer servidor na Internet.

Server_B (Ubuntu) which is directly connected to the internet.

Não há restrições no encaminhamento de portas ou em quaisquer firewalls no Server_B

Não consigo me conectar ao Server_A pela Internet porque está dentro de uma rede local e o encaminhamento de porta não é possível aqui, não tenho acesso ao roteador.

O Server_A pode se conectar ao Server_B para que eu possa conectar via SSH ao Server_B e se comunicar com o Server_A?

    

Answer 1

Se você puder executar um servidor ssh no Server_A, você poderá ssh de Server_A para Server_B e ter uma porta no Server_B encaminhada de volta para o servidor ssh do Server_A.

Server_A$ ssh -R 12345:localhost:22 Server_B
Password:
Server_B$ 

E, em seguida, no Server_B, você pode agora ssh para Server_A usando localhost na porta 12345:

Server_B$ ssh -p 12345 localhost
Password:
Server_A$

Se você realmente quiser expor o servidor ssh do Server_A na Internet, você pode tornar o encaminhamento de porta acessível a partir de outros hosts, mas isso requer que o arquivo sshd_config do Server_B permita GatewayPorts :

Server_A$ ssh -R '*:12345:localhost:22' Server_B
Password:
Server_B$ 

e depois de qualquer lugar:

Anywhere$ ssh -p 12345 Server_B
Password:
Server_A$

Mas, como mencionado em um comentário, muito cuidado, você não passa por cima de algumas políticas de segurança importantes.

    

Answer 2

Considere o uso do Teredo (Miredo no mundo do OpenSource). O parágrafo seguinte é um trecho copiado descaradamente da Wikipedia.

Em redes de computadores, o Teredo é uma tecnologia de transição que fornece conectividade IPv6 completa para hosts compatíveis com IPv6 que estão na Internet IPv4, mas não possuem conexão nativa para uma rede IPv6. Ao contrário de protocolos semelhantes, ele pode executar sua função mesmo de dispositivos de tradução de endereço de rede (NAT), como roteadores domésticos.

Quando o servidor estiver em funcionamento, o cliente Teredo se conectará automaticamente ao servidor de retransmissão e obterá um endereço IPv6 roteável. Esse endereço IPv6 pode ser estático ou dinâmico (dependendo do servidor / retransmissão do Teredo). Você pode até fazer uma atualização dinâmica de DNS, se necessário.

Isso proporcionará conectividade bidirecional contínua entre o servidor e os clientes sem recorrer ao encaminhamento de porta. Talvez seja necessário abordar as preocupações de segurança restringindo o acesso ao endereço IPv6 usando a infraestrutura de PKI.