Journal Tunnel automatisé ssh plusieurs machines Passe Passe le NAT

Sommaire

• Le problème:
• L'idée générale de solution:
• Avertissement:
• Le detail:
  • Configuration du serveur MERLO:
  • Configuration des hotes (des machines des amis, de la famille, des petites copines):

Voila, hier et aujourd'hui, n'ayant rien de particulier a faire, j'ai décidé de mettre un oeuvre une idée qui me trottait par la tête depuis quelque temps; Automatiser la configuration d'un tunnel ssh pour accéder a des machines qui se connectent depuis des endroits différents dans le monde;

Le problème:

Au fil du temps, la famille, les amis me demandent de leur installer un linux, ce que je fais volontiers; J'installe toujours la même distribution, debian squeeze de préférence, debian wheezy quand le matériel est trés récent, et souvent, de l'aide m'est demandée pour une imprimante par exemple, un programme qui n'est pas installé, etc.. et dans cas, me connecter en ssh sur la machine me permet d'éviter un déplacement; Mais probablement! La majorité sont derrière des routeurs, avec même des adresses ip dynamiques souvent, certains on même un portable et se connectent depuis des endroits différents, donc dyndns+configurer routeur c'est la galère, de plus il faut se souvenir des noms de domaines dyndns, la galère quoi.
Second problème, j'aime bien donner des mots de passe simples a ma famille, genre la même chose que le login, exposer ssh directement a internet est donc déconseillé pour des raisons évidentes de sécurité!

L'idée générale de solution:

Il faut soit un ordinateur directement connecté a internet (pour plus de simplicité), soit encore mieux un serveur dedié ou virtuel, avec l'accés root (dans mon cas j'utilise un serveur virtuel hetzner a 7.90 euros par mois), que nous apellerons MERLO
Les ordinateurs de la famille, des amis, que nous appelons hotes, se connectent automatiquement peu aprés le démarrage a MERLO en ssh et creent un tunnel pour exposer des ports préalablement définis (typiquement le port ssh, mais ça marche pour d'autres ports) afin qu'ils soient accessibles de l'extérieur.
Tout ou presque est automatisé chez chaque ordinateur hote

Avertissement:

Tout le code est crade, beaucoup de faute d'orthographe, j'ai teste uniquement sous debian squeeze, il faut surement l'adapter pour les autres distributions, c'est fait vite fait et mal fait, aucune gestion d'erreur, peu de fonctionnalités, etc…

Le detail:

Configuration du serveur MERLO:

Il faut bien sur avoir un serveur ssh d'installé, ainsi que python3 (par la même occasion j'ai fait mon premier programme python3)

    apt-get install python3 openssh-server

Dans le /etc/ssh/sshd_config, rajouter a la fin:

    GatewayPorts yes
    ClientAliveInterval 30
    ClientAliveCountMax 5

Il faut rajouter un utilisateur dédié à ça, donnons lui un nom au hasard, pourquoi pas CALAMAR, donc adduser CALAMAR, lui mettre un mot de passe pas trop pourri, et mettre a la racine du /home de CALAMAR (soit /HOME/CALAMAR) le fichier suivant numBasNumHaut.py:

from subprocess import Popen
import os
def ex(command):
    print(" on va executer: "+command)
    p = Popen(command, shell=True)
    sts = os.waitpid(p.pid, 0)[1]



import sys
class Connexion():
    def __init__(self,portHote,portLocal,monitor):
        self.portHote=portHote
        self.portLocal=portLocal
        self.monitor=monitor
class Hote():
    def __init__(self,nom):
        self.nom=nom
        self.cons=[]
    def ajoutConnexion(self,ph,pl,m):
        c=Connexion(ph,pl,m)
        self.cons.append(c)

import shelve
d=shelve.open(".dbmonirot")
def innit(db,key,valeur):
    if key in db:
        return db[key]
    else:
        db[key]=valeur
        return valeur

numBas= innit(d,"numBas",1500)
numHaut= innit(d,"numHaut",15000)
hotes= innit(d,"hotes",[])

def getBas():
    valeur=d["numBas"]
    d["numBas"]=valeur+1
    return valeur

def getHaut():
    valeur=d["numHaut"]
    d["numHaut"]=valeur+2
    return valeur

def ajoutHote(nom,listePorts):
    h=Hote(nom)
    retour=[]
    for p in listePorts:
        bas=getBas()
        haut=getHaut()
        retour.append((p,bas,haut))
        h.ajoutConnexion(p,bas,haut)
    hs=d["hotes"]
    hs.append(h)
    d["hotes"]=hs
    return retour

if len(sys.argv)>2:
    nom=sys.argv[1]
    nums=[int(i) for i in sys.argv[2:]]
    retour=ajoutHote(nom,nums)
    for r in retour:
        print(r[0],r[1],r[2])
elif len(sys.argv)==2:
    for h in hotes:
        if sys.argv[1] in h.nom:
            print("on se connecte")
            ex("ssh pli@localhost -p "+str(h.cons[0].portLocal))
else:
    for h in hotes:
        print (h.nom)
        for c in h.cons:
            print ("\t",c.portHote,"->",c.portLocal)
d.close()

L'idée de ce fichier est de se rappeller quel ordinateur se connecte depuis quels ports, et vers ou ces ports sont redirigés, ainsi que le nom des ordinateurs hotes
Il y a trois manieres d'utiliser ce programme:
1) lister les ordinateurs et les ports enregistrés:

python3 numBasNumHaut.py

2) se connecter en ssh a un ordinateur dont on connait le nom, est qui est deja enregistré:

python3 numBasNumHaut.py bellemere

3) enregistrer un nouvel ordinateur, ainsi que les ports qui seront redirigés (cette commande est executée automatiquement depuis les hotes, a ne pas faire directement (cela n'aurait aucun effet)

python3 numBasNumHaut.py bellemere 22 443

Voila on a fini la configuration du serveur MERLO

Configuration des hotes (des machines des amis, de la famille, des petites copines):

Je viens juste d'installer un debian squeeze sur l'ordinateur KIKI de mon tonton, avec comme utilisateur principal POCHO que mon tonton va utiliser
La c'est un peu plus compliqué, beaucoup de réponses a faire; Se caler dans un petit répertoire tranquille d'un utilisateur normal, de POCHO par exemple:

    cd ~
    mkdir .monitor
    cd .monitor

et exécuter le programme suivant monirot.py avec comme arguments le nom que la machine aura sur MERLO (par exemple ORDITONTON) et les ports a rediriger (par exemple 22 pour ssh et 80 pour https:
python3 monirot.py ORDITONTON 22 80

from subprocess import Popen
import os,sys
ip="7.7.7.7" # IL FAUT METTRE ICI L'ip DE MERLO
login="CALAMAR"
maison=os.getcwd()
def ex(command):
    print(" on va executer: "+command)
    p = Popen(command, shell=True)
    sts = os.waitpid(p.pid, 0)[1]

if len(sys.argv)>2:
    nom=sys.argv[1]
    nums=[i for i in sys.argv[2:]]
    strii=nom+' '+' '.join(nums)
else:
    print("ERREUR AUCUN NOM NI PORT FOURNI")
    sys.exit(1)


ex("su -c 'apt-get install autossh ssh openssh-server'") #FOURNIR ICI LE MOT DE PASSE ROOT DE KIKI
ex("mkdir .ssh")
ex("ssh-keygen -f .ssh/id_rsa")
ex("ssh-copy-id -i "+maison+"/.ssh/id_rsa.pub '"+login+"@"+ip+"'") #FOURNIR ICI LE MOT DE PASSE DE CALAMAR SUR MERLO
ex("ssh "+login+"@"+ip+" 'python3 numBasNumHaut.py "+strii+"'>tmp.tmp") #FOURNIR ICI LE MOT DE PASSE DE CALAMAR SUR MERLO
ex("su -c 'adduser pli'") #FOURNIR ICI LE MOT DE PASSE ROOT DE KIKI
ex("su -c 'echo \"AllowUsers pli\nAllowGroups pli\" >> /etc/ssh/sshd_config'") #FOURNIR ICI LE MOT DE PASSE ROOT DE KIKI
ex("su -c 'service ssh restart'") #FOURNIR ICI LE MOT DE PASSE ROOT DE KIKI
conections=[]
with open("tmp.tmp") as f:
    for l in f.readlines():
        lt=l.split(" ")
        if len(lt)==3:
            a=int(lt[0])
            b=int(lt[1])
            c=int(lt[2])
            conections.append((a,b,c,lt[0]+".sh"))

ruu='''
#!/bin/bash
set +e
SSH_OPTIONS=" -i {}/.ssh/id_rsa"
# Always assume initial connection will be successful
export AUTOSSH_GATETIME=0
# Disable echo service, relying on SSH exiting itself
export AUTOSSH_PORT=0
#once proven, use (and rem out previous command):
autossh -f -- $SSH_OPTIONS -o 'ControlPath none' -R {}:localhost:{} {}@{} -N 2> /dev/null
'''
import shutil
shutil.copy("/etc/rc.local","tmprclocal")
for c in conections:
    f=open(c[3],"w")
    f.write(ruu.format(maison,c[1],c[0],login,ip))
    f.close()
    ex("chmod +x "+c[3])
    import fileinput
    for line in fileinput.FileInput("tmprclocal",inplace=1): 
        if "exit 0\n" in line:
            print("sleep 180 ")
            print("su "+os.getlogin()+" -c '"+maison+"/"+c[3]+"'")
        print (line.strip()),
ex("su -c 'cp tmprclocal /etc/rc.local'") #FOURNIR ICI LE MOT DE PASSE ROOT DE KIKI

Comme vous pouvez le voir, le script crée un utilisateur plip, auquel il vaut mieux fournir un mot de passe fort, et n'autorise l'accés ssh qu'à cet utilisateur!
Et voila, a chaque demarrage, le systeme attendra 180 secondes, et mettra en place le tunnel pour pouvoir se connecter depuis l'exterieur!
Bon au début je voulais commenter plus le code, mais j'ai la flemme, alors si vous avec des questions, je repondrais dans un commentaire