Un blog d'adminsys Libres

Si comme beaucoup d’admins, il vous arrive de vous retrouver dans un réseau assez «fermé», filtrant par exemple des sites non autorisés, vous avez certainement cherché à passer au travers ce filtrage.

Il existe une méthode simple avec ssh, si le port 22 est laissé ouvert en sortie. Si le port 22 est fermé, soit on changera son serveur SSH de port d’écoute, soit on utilisera corkscrew, dont la configuration (pas très complexe), est détaillée un peu plus loin.

Pour faire simple, une ligne suffit :

ssh -D localhost:8080 user@monServeurPersoExterne.tld

Une fois la connexion établit, ssh aura créé un proxy «sock» sur localhost. Il suffit alors de configurer firefox/chrome/autre, pour utiliser ce proxy, comme les captures ci-dessous (préférences firefox):

En général, au bout de quelques jours, soit vous ne pouvez pas vous empêcher de vous vanter d’avoir trouver un moyen de «by-passer» le filtrage, soit quelqu’un regarde au moment inopportun au dessus de votre épaule et voit que vous consultez fessebouk, alors que ce dernier est normalement filtré. Après vous avoir menacé de tout balancer si vous ne lui expliquiez pas comment faire, vous vous décidez à partager votre connexion (faible que vous êtes). Rien de bien compliqué, il suffit de remplacer «localhost» par votre IP :

ssh -D monip:8080 user@monServeurPersoExterne.tld

Remplacez «monip» par l’IP attribuée à votre PC (fixe ou DHCP). En général, c’est une adresse en 192.168.x.y ou 10.x.y.z ou 172.16-32.x.y.. Dites ensuite à votre collègue adoré de configurer son firefox comme ci-dessus, mais en mettant dans le champs «hôte sock» votre IP au lieu de «localhost».

Voilà, vous êtes maintenant 2 personnes à tirer du trafic depuis une même IP externe (votre serveur perso) vers une même IP interne (la votre). Si le firewall de votre boite remonte des statistiques, vous serez grillé, à coup sûr. (Morale : il vaut donc mieux savoir être discret et fermer son caquet).

Si le port 22 est bloqué en sortie, pas de panique, il suffit de faire écouter votre serveur ssh sur le port 443 (non détaillé ici), et de vous connecter sur le bon port :

ssh -D localhost:8080 -p 443 toto1@monServeurPersoExterne.tld

Si toutes vos connexions passent par un proxy filtrant, il y a une solution qui marche tout aussi bien, en utilisant l’outil «corkscrew» (tire-bouchon en anglais). On l’installe :

yum|aptitude|emerge (install) corkcrew

Cet outil va négocier pour nous une connexion en mode «CONNECT», le proxy ne regarde alors plus les données qui transitent (mode utilisé pour le SSL). Par contre, il y a de forte chance pour que ce mode connecte ne fonctionne que sur le 443 sortant : à vous de mettre votre serveur SSH en écoute sur ce port (non détaillé ici).

On crée un fichier de configuration avec les paramètres du proxy :

mentos@raphux-ThinkPad-T61:~$ cat .corkscrew/proxy.monEntreprise
rberlamont:sUp3r+m0t-De_p455
mentos@raphux-ThinkPad-T61:~$

Et on configure ssh pour utiliser corkscrew quand il se connecte à votre serveur :

mentos@raphux-ThinkPad-T61:~$ cat .ssh/config
host monServeurPersoExterne.tld
ProxyCommand /usr/bin/corkscrew IPouNomDuProxy 1234 %h %p /home/mentos/.corkscrew/proxy.monEntreprise

On se connecte à notre serveur, comme précédemment :

ssh -D localhost:8080 -p 443 toto1@monServeurPersoExterne.tld

Votre connexion SSH passe maintenant passer à travers le proxy.

Si vous ne voulez pas retaper toute la ligne à chaque fois, libre à vous d’inclure tous les paramètres dans le fichier de configuration de ssh :

mentos@raphux-ThinkPad-T61:~$ cat .ssh/config
host monServeurPersoExterne.tld
DynamicForward monIP:8080
Port 443
User toto1
ProxyCommand /usr/bin/corkscrew IPouNomDuProxy 1234 %h %p /home/mentos/.corkscrew/proxy.monEntreprise
mentos@raphux-ThinkPad-T61:~$

Un simple … :

ssh monServeurPersoExterne.tld

…suffira désormais pour vous connecter à votre serveur ssh :
- sur le bon port (443);
- avec le bon user (toto1);
- à travers le proxy filtrant:
- en créant à votre tour un proxy pour vous et vos ptits collègues si gentils.

Elle est pas belle la vie d’admin?

NB : Attention avec tout ceci : vous de devez pas vous mettre en contradiction avec la charte informatique que vous avez certainement signé.