SSH - Interceptação

Question

Realmente esperando que alguém aqui possa me apontar na direção certa,

Resultado esperado: SSH com sucesso em um dispositivo remoto.

Desafio / história: Temos dispositivos em locais remotos em todo o país. Esses dispositivos não têm um endereço IP público fixo (usando o GSM como sua fuga da Internet). Esses dispositivos podem entrar em SSH e irromper.

Meu pensamento, no que diz respeito à manutenção desses dispositivos é (se possível) usar um servidor na nuvem como um intermediário, fazer esses dispositivos criarem um túnel reverso para o nosso servidor intermediário e então nos ter como interceptadores ou algo nesse sentido.

Mais uma vez para resumir O dispositivo não pode ser colocado diretamente no ssh, mas pode ser quebrado. Apontar para poder bater seu terminal do escritório. Tenho olhado para mitmssh mas não vem bem nessa frente. Servidor A (sem endereço fixo, não pode conectar o SSH diretamente, mas tem quebra)

Servidor B (servidor padrão que pode ser usado como intermediário

Servidor C (Administradores dos EUA)

Tentei algo ao longo das linhas de "usuário ssh @ serverA -R serverB: 12345: ServerA: 22"

O que cria o túnel, mas lutando para se apossar dessa conexão SSH.

    

Answer 1

No servidor A, você deve executar automaticamente (por exemplo, como serviço systemd ou qualquer outro que possa usar), algo como

ssh userB@serverB -R serverC:1234:serverA:22

como userA, onde a chave pública de userA no servidor A está no arquivo authorized_keys do userB no servidor B.

Para tentar isso, eu usaria um servidor A onde é fácil obter acesso local por outros meios e executar o comando diretamente antes de instalá-lo como um serviço.

Então, no servidor C, você pode fazer

ssh userX@serverB -p 1234

em que userX é algum usuário no servidor A.

Se algo não funcionar, use (vários) -v sinalizadores verbosos com ssh para depurar. Você também pode colocar o (s) demônio (s) ssh no servidor B e no servidor A no modo detalhado, se necessário.

Você também pode deixar de fora serverC na conexão break-out, permitindo que (temporariamente) qualquer pessoa acesse, se essa verificação não funcionar porque os endereços são NATed, etc.