HowTo] Accéder à son VPN depuis le réseau Tor via SSH Tunneling

Posté par EauFroide le 09 mai 2017 à 00:19. Licence CC By‑SA.

Étiquettes :

mai

2017

Sommaire

Introduction
Mise en place sur le Serveur OpenVPN
Mise en place sur le Client
- Monter un tunnel SSH cross canal au démarrage puis lancer openvpn
- Ajouter 127.0.0.1 comme IP à l'hostname de votre serveur VPN dans le fichier /etc/hosts
Farm Link

musique d'entrain : DJ Antoine - Sky Is The Limit | Mix #1
Ce tutoriel fonctionne sur : Ubuntu, Debian, Raspbian.

Introduction

L'objectif de ce tutoriel est de pouvoir joindre un VPN pas forcément accessible depuis le net.
Lorsque le serveur se trouvera sur le même réseau LAN que le client, alors un tunnel SSH sera établi en LAN.
Lorsque le serveur ne se trouvera pas sur le même LAN que le client, alors un tunnel SSH sera établi à travers Tor.
Les communications entre le serveur VPN et le client seront encapsulées dans le tunnel de données SSH.
Pour ce faire nous allons :
Sur le serveur
- Changer le protocole utilisé par défaut par le serveur OpenVPN, le port UDP 1194 que nous allons remplacer par TCP 1194.
- Ensuite nous allons créer un utilisateur dédié pour le tunneling SSH.
- Installer openssh-server et rendre ce dernier accessible via Tor Hidden Service.
Sur le client
- Monter un tunnel SSH cross canal au démarrage et lancer juste après le client openvpn

Mise en place sur le Serveur OpenVPN

Changer le port UDP d'OpenVPN par un port TCP

Note : si vous vous interrogez sur le pourquoi il faut changer de protocole, c'est car Tor ne supporte pas l'UDP.

Éditez le fichier /etc/openvpn/server.conf

sudo nano /etc/openvpn/server.conf

Remplacez proto udp par proto tcp
Recommencez l'opération pour tout vos fichiers de configurations clients
sur PiVPN éditez les fichiers dans /home/pivpn/ovpns/, voici une ligne de commande qui le fait pour vous :

sudo sed -i -- 's/proto udp/proto tcp/g' /home/pivpn/ovpns/*.ovpn

Adaptez éventuellement l'utilisateur pivpn par celui que vous avez utilisé. Pensez à répéter l'opération sur les machines clientes où vous avez déjà exporté les fichiers de configurations client d'openvpn (.ovpn).

Installer le serveur SSH et configurer un Tor Hidden Service

Note : lancez chaque commande à la fois, ne faites pas un copié-collé du tout ;)

sudo su
apt-get install tor openssh-server -y
mkdir -p /var/lib/tor/hidden_service/ssh
echo "HiddenServiceDir /var/lib/tor/hidden_service/ssh" >> /etc/tor/torrc
echo "HiddenServicePort 22 127.0.0.1:22" >> /etc/tor/torrc
chown debian-tor:root -R /var/lib/tor/hidden_service/
chmod 700 -R /var/lib/tor/hidden_service/
service tor restart
cat /var/lib/tor/hidden_service/ssh/hostname

Pensez à conserver le retour de la dernière commande (vous affichant l'adresse.onion) car elle vous sera utile pour l'installation du client.

Créer l'utilisateur dédié pour recevoir le tunnel SSH

*Créez votre utilisateur dédié *

sudo adduser proxy-ssh

*Générez les clés de sécurité de l'user *

su proxy-ssh
ssh-keygen -t ed25519 -o -a 666
ssh-keygen -t rsa -b 4096 -o -a 666
exit

proxy-ssh : le pseudo de votre utilisateur sur le serveur
-o -a 666 : permet de faire boucler l’algorithme 666 fois
-b 4096 : précise qu'on veut une clés a 4096 bits
-t rsa : on utilise l’algorithme RSA
-t ed25519 : on utilise l'algorithme EdDSA

Éditez /etc/ssh/sshd/config

sudo nano /etc/ssh/sshd_config

Ajoutez les lignes suivantes en adaptant à vos besoins

Match user proxy-ssh
        PermitOpen 127.0.0.1:*

proxy-ssh votre utilisateur dédié

Redémarrez le serveur SSH

sudo service ssh restart

Mise en place sur le Client

Monter un tunnel SSH cross canal au démarrage puis lancer openvpn

*Installez les pré-requis *

sudo apt-get install openssh-client autossh tor openvpn

Téléchargez sur votre client le fichier de configuration (.ovpn) et placez le dans /etc/openvpn/
Rendez compatible le client ssh avec le réseau Tor

sudo nano /etc/ssh/ssh_config

Et ajoutez ces lignes

         Host *.onion
            ProxyCommand nc -xlocalhost:9050 -X5 %h %p

Exportez votre clés sur votre serveur

ssh-copy-id -i ~/.ssh/id_rsa.pub proxy-ssh@adresseServerSSH

Créez le dossier /opt/scripts

sudo mkdir /opt/scripts

Créez le script

sudo nano /opt/scripts/startSshTunnelingAndVPN.sh

Ajoutez le code suivant en l'adaptant

#!/bin/bash
#  -> WTFPL - infos script : https://www.0rion.netlib.re/forum4/viewtopic.php?f=79&t=587&p=1252#p1253
# -> code by voxdemonix <-
# -> V1.3 <-
#su monUser -c 'autossh -M 0 -q -N -o "ServerAliveInterval 60" -o "ServerAliveCountMax 3" -L 8080:127.0.0.1:80 proxy-ssh@torOrWanadress.onion -f'


if [ ! "$SUDO_USER" ]; then
echo "!!! i need root !!!"
exit 0
fi


IpVpnLocale="192.168.1.42" # l'adresse IP locale de votre serveur VPN/SSH
AdresseServerOnion="torOrWanadress.onion"
MacVpnLocal="00:00:00:00:00:00" # l'adresse mac du serveur VPN/SSH (tapez ifconfig dans un terminal sur votre server pour la voir)
UserLocalForSshTunneling="myLocalUser" # l'user a utiliser sur votre ordinateur pour le montage du tunnel (celui qui a exporté sa clés)
UserRemoteForSshTunneling="proxy-ssh" # l'user a utiliser côté server ( /!\ n'utilisez jamais root !)
portEntree="1194" # le port sur le pc local, par défaut 1194
portSortie="1194" # le port sur le serveur, par défaut 1194
fichierOVPN="myUser.ovpn" # le nom de votre fichier de configuration .ovnp


        # boucle qui permet d'attendre que le réseau soit connecté
stop="0"
while [ $stop -lt 1 ]
do
sleep 120       # temps d'attente entre chaque tentative

_IP=$(hostname -I) || true
if [ "$_IP" ]; then
        #printf "My IP address is %s\n" "$_IP"
        stop=1
fi
done

ping $IpVpnLocale -c 2 >> /dev/null 2>&1
macRecover=$(arp -n | grep -i -o $MacVpnLocal)

if [ "$macRecover" == "$MacVpnLocal" ]; then
#        echo "local"
        su $UserLocalForSshTunneling -c "autossh -M 0 -q -N -o 'ServerAliveInterval 60' -o 'ServerAliveCountMax 3' -L $portEntree:127.0.0.1:$portSortie $UserRemoteForSshTunneling@$IpVpnLocale -f"
else
#        echo "tor/wan"
        su $UserLocalForSshTunneling -c "autossh -M 0 -q -N -o 'ServerAliveInterval 60' -o 'ServerAliveCountMax 3' -L $portEntree:127.0.0.1:$portSortie $UserRemoteForSshTunneling@$AdresseServerOnion -f"
fi
sleep 10

  # sur Ubuntu et Raspbian ajoutez --route-nopull à la commande suivante si vous ne voulez pas forcer le trafic à passer par le VPN
openvpn --daemon --cd /etc/openvpn --config $fichierOVPN

IpVpnLocale="192.168.1.42" => l'adresse IP locale de votre serveur VPN/SSH
AdresseServerOnion="monTorHiddenService.onion" l'hostname WAN ou l'adresse Tor Hidden Service au choix
MacVpnLocal="00:00:00:00:00:00" => l'adresse mac du serveur VPN/SSH (tapez ifconfig dans un terminal sur votre server pour la voir)
UserLocalForSshTunneling="myUserLocal" => l'user a utiliser sur votre ordinateur pour le montage du tunnel (celui qui a exporté sa clés)
UserRemoteForSshTunneling="myUserServer" => l'user a utiliser côté serveur ( /!\ n'utilisez jamais root !)
portEntree="1194" => le port sur le pc local, par défaut 1194
portSortie="1194" => le port sur le serveur, par défaut 1194
fichierOVPN="myUser.ovpn" => le nom de votre fichier de configuration pour le client openvpn (il doit obligatoirement se trouver dans /etc/openvpn/)

Rendez exécutable le script

sudo chmod +x /opt/scripts/*

Ajoutez le lancement du script au boot en éditant /etc/rc.local

sudo nano /etc/rc.local

Ajoutez la ligne suivante juste avant exit 0

sudo /opt/scripts/startSshTunnelingAndVPN.sh

Ajouter 127.0.0.1 comme IP à l'hostname de votre serveur VPN dans le fichier /etc/hosts

Éditez votre fichier /etc/hosts

sudo nano /etc/hosts

Ajoutez dedans la ligne suivante en l'adaptant

127.0.0.1 hostnameDeVotreVPN

Farm Link

# j'ai pas tout compris ?

Posté par NeoX le 09 mai 2017 à 09:52. Évalué à 3.

L'objectif de ce tutoriel est de pouvoir joindre un VPN pas forcément accessible depuis le net.

bon ca, OK, j'imagine que le serveur VPN est derriere TOR

Lorsque le serveur se trouvera sur le même réseau LAN que le client, alors un tunnel SSH sera établi en LAN.

s'il est sur le meme LAN, pourquoi monter un tunnel SSH ?

Lorsque le serveur ne se trouvera pas sur le même LAN que le client, alors un tunnel SSH sera établi à travers Tor.

ben il est ou ton VPN alors ?

Les communications entre le serveur VPN et le client seront encapsulées dans le tunnel de données SSH.

si tu sais monter un tunnel SSH entre le client et le serveur au travers de TOR,
tu dois pouvoir directement te connecter en VPN

sinon, tu n'as pas besoin du VPN une fois que tu as le tunnel SSH
car au travers du tunnel SSH, tu peux creer une redirection vers une autre machine sur le LAN du serveur.
- [^] # Re: j'ai pas tout compris ?
  
  Posté par EauFroide le 09 mai 2017 à 12:47. Évalué à -3.
  
  Pour ta compréhension typiquement le cas d'utilisation c'est un serveur VPN derriere un NAT/Firewall injoignable depuis le WAN.
  Comme l'hairpinning est foireux dans mon cas, je suis obligé d'avoir une configuration differente en LAN qu'en WAN. Puis avec cette methode pas besoin d'ouvrir le NAT :)
  Je pense réutiliser la methode pour connecter deux VPN :)
  
  s'il est sur le meme LAN, pourquoi monter un tunnel SSH ?
  
  Je me suis penché sur la question (il faut encore que je test, j'éditerai le tuto), en placant un sed qui modifie /etc/hosts dans le if qui choisit si on passe par le Lan ou Tor.
  
  tu dois pouvoir directement te connecter en VPN
  
  Peut etre en configurant un proxy torefication mais je ne sais pas encore comment faire et je suppose que ca revient au meme (ssh faisant role de proxy) :)
  
  Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
  - [^] # sans tunnel en Lan, avec Tunnel en WAN/Tor
    
    Posté par EauFroide le 09 mai 2017 à 14:25. Évalué à -3. Dernière modification le 09 mai 2017 à 14:29.
    Que penses-tu de cette version ? :) (je ne l'ai pas encore testé)
    Explication :
    -si réseau connecté et serveur VPN détecté sur LAN, on modifie le fichier hosts afin d'insérer l'IP Lan du serveur en correspondance avec l'hostname du serveur
    -si réseau pas connecté et/ou serveur VPN pas sur le même LAN, on modifie le fichier hosts afin d'insérer 127.0.0.1 comme correspondance a l'hostname du serveur
    -on lance openvpn qui va se connecter directement au serveur en Lan ou à travers SSH + Tor en Wan
```
#!/bin/bash
#  -> WTFPL - infos script : https://www.0rion.netlib.re/forum4/viewtopic.php?f=79&t=587&p=1252#p1253
# -> code by voxdemonix <-
# -> V0.1 ALPHA <-

vpnHostname="vpn.monSite.netlib.re"
IpVpnLocale="192.168.1.42" # enter your Lan IP, the script push 127.0.0.1 when need Tor 
AdresseServerOnion="torOrWanadress.onion"
MacVpnLocal="00:00:00:00:00:00" # l'adresse mac du serveur VPN/SSH (tapez ifconfig dans un terminal sur votre server pour la voir)
UserLocalForSshTunneling="myLocalUser" # l'user a utiliser sur votre ordinateur pour le montage du tunnel (celui qui a exporté sa clés)
UserRemoteForSshTunneling="proxy-ssh" # l'user a utiliser côté server ( /!\ n'utilisez jamais root !)
portEntree="1194" # le port sur le pc local, par défaut 1194
portSortie="1194" # le port sur le serveur, par défaut 1194
fichierOVPN="myUser.ovpn" # le nom de votre fichier de configuration .ovnp


if [ ! "$SUDO_USER" ]; then
echo "!!! i need root !!!"
exit 0
fi

        # boucle qui permet d'attendre que le réseau soit connecté
stop="0"
while [ $stop -lt 1 ]
do
sleep 120       # temps d'attente entre chaque tentative (si le réseau n'est pas connecté après cette boucle le VPN sera connecté à travers Tor)

_IP=$(hostname -I) || true
if [ "$_IP" ]; then
        #printf "My IP address is %s\n" "$_IP"
        stop=1
fi
done

ping $IpVpnLocale -c 2 >> /dev/null 2>&1
macRecover=$(arp -n | grep -i -o $MacVpnLocal)

     # NOTE : SE SERAIT PAS MAL DE REMPLACER PAR UN IF NOT
if [ "$macRecover" == "$MacVpnLocal" ]; then
#        echo "local"
#        su $UserLocalForSshTunneling -c "autossh -M 0 -q -N -o 'ServerAliveInterval 60' -o 'ServerAliveCountMax 3' -L $portEntree:127.0.0.1:$portSortie $UserRemoteForSshTunneling@$IpVpnLocale -f"

else
#        echo "tor/wan"
# on initie un tunnel SSH transitant par Tor
        su $UserLocalForSshTunneling -c "autossh -M 0 -q -N -o 'ServerAliveInterval 60' -o 'ServerAliveCountMax 3' -L $portEntree:127.0.0.1:$portSortie $UserRemoteForSshTunneling@$AdresseServerOnion -f"

    IpVpnLocale="127.0.0.1"
fi
sleep 10

    #on modifie le fichier /etc/hosts afin de faire correspondre l'hostame de notre VPN avec l'IP pour le joindre
sed -i -- "s/$(cat /etc/hosts | grep $vpnHostname)/ /g" /etc/hosts
echo "$IpVpnLocale  $vpnHostname" >> /etc/hosts

  # sur Ubuntu et Raspbian ajoutez --route-nopull à la commande suivante si vous ne voulez pas forcer le trafic à passer par le VPN
openvpn --daemon --cd /etc/openvpn --config $fichierOVPN
```
    Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
    - [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
      
      Posté par NeoX le 09 mai 2017 à 15:20. Évalué à 3.
      
      j'ai beau relire, je ne comprend toujours pas pourquoi tu veux te connecter au service OpenVPN quand tu es sur le meme LAN que le serveur qui heberge l'OpenVPN
      
      un serveur VPN, c'est fait pour connecter deux reseaux disjoints (chez toi, chez tes parents ou ton bureau) et laisser croire à ta machine que les deux reseaux sont les memes (pour acceder à l'imprimante des parents, au serveur NAS du bureau
      
      si tu es sur le meme LAN, cela n'a aucun interet,
      
      si tu montes un labo, autant mettre une machine entre les 2 reseaux qui fera du routage et laissera croire que ce sont 2 reseaux disjoints
      
      alors le coup de monter un tunnel SSH
      pour ensuite monter un tunnel VPN dedans
      
      je le redis, si tu arrives à faire un tunnel SSH dans le sens Client -> Serveur
      c'est que tu as deja des ports ouverts de l'exterieur vers le serveur,
      autant s'en servir pour directement faire le tunnel VPN (reconfigurer openvpn pour ecouter sur le bon PORT.
      - [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par EauFroide le 09 mai 2017 à 15:44. Évalué à -3. Dernière modification le 09 mai 2017 à 15:45.
        
        j'ai beau relire, je ne comprend toujours pas pourquoi tu veux te connecter au service OpenVPN quand tu es sur le meme LAN que le serveur qui heberge l'OpenVPN
        
        -le LAN n'est pas un espace sécurisé (surtout quand je passerai en IPv6)
        -en finir avec les tunnel SSH qui partent dans tout les sens et qui nécessitent leur lot de configuration
        -sécuriser les communications sans passer par TLS (que je n'apprécie pas), se qui va être utile pour les montages WEBDAV/DAVFS2 pour le raid10 gluster et le cluster MySQL (j'attendais le VPN pour me relancer sur ce sujet)
        -rediriger les flux du reverse proxy plus proprement (par exemple là j'avais une redirection vers un prestashop, qui transitait par un tunnel SSH et prestashop râlait car pour lui hostname:8443 != hostname)
        -faciliter l'accès à mes services (exemple dans firfox je devais taper 127.0.0.1:8080/ pour acceder au service sur server A, 127.0.0.1:8081 pour accéder au service sur server B, maintenant je peux utiliser direct les IP statique dans le VPN que j'ai ajouté en marque page)
        -fixer les IP indépendamment du routeur/DHCP
        
        je le redis, si tu arrives à faire un tunnel SSH dans le sens Client -> Serveur
        c'est que tu as deja des ports ouverts de l'exterieur vers le serveur,
        autant s'en servir pour directement faire le tunnel VPN (reconfigurer openvpn pour ecouter sur le bon PORT.
        
        Non, c'est Tor (via l'Hidden Service) qui se charge d'établir la communication avec un relais sur Internet. Ensuite le client contacte ce relais. A aucun moment il n'y a établissement d'un lien "direct" (au sens TCP/IP) entre le client et le serveur.
        Il n'y a pas besoin d'ouvrir le NAT/Firewall pour accéder à un Tor Hidden Service.
        
        PS : dans mon script précédent j'ai un problème avec le sed, il fonctionne tant qu'il n'y a qu'une seule occurrence mais s'il y en a plusieurs il échoue. Si quelqu'un a une astuce je suis preneur :)
        
        sed -i -- "s/$(cat /etc/hosts | grep $vpnHostname)/ /g" /etc/hosts >/dev/null 2>&1
        
        (le but c'est de supprimer dans /etc/hosts toutes les lignes contenant la string dans $vpnHostname )
        
        Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par jnanar (site web personnel) le 09 mai 2017 à 16:29. Évalué à 1.
        
        -le LAN n'est pas un espace sécurisé (surtout quand je passerai en IPv6)
        Que veux-tu dire? Je comprends que tu dise que ce n'est pas sécurisé (réseau public par exemple) mais en quoi l'ipv6 diminue la sécurité d'un réseau local?
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par EauFroide le 09 mai 2017 à 16:51. Évalué à -2.
        
        Tout les fans d'IPv6 vantent la disparition du NAT (il sera donc plus probable qu'au moins une machine se fasse véroler).
        
        Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par jnanar (site web personnel) le 09 mai 2017 à 17:02. Évalué à 2.
        
        Mes machines (ipv6) sont branchées au routeur mais elles ne sont pas accessibles depuis internet pour autant. Le routeur dispose d'un firewall. Je ne comprends pas le lien de cause à effet.
        
        http://www.bortzmeyer.org/nat-et-securite.html
        
        Avec la plupart des attaques actuelles, c'est la victime qui établis la connexion (en cliquant sur un URL dans une pièce jointe par exemple). Un NAT (ou NAPT) ne peut rien contre ça.
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par EauFroide le 09 mai 2017 à 18:06. Évalué à -2.
        
        Oui tu as sans doute raison, IPv6 n'apportera probablement pas beaucoup de bouleversements à ce niveau.
        J'aurais du m'en tenir à "le Lan n'est pas sécurisé" :)
        
        Merci pour ton apport en informations ;)
        
        PS: je n'ai toujours pas trouvé comment régler le soucis du sed, si l'un de vous a une idée :) J'ai essayé d'adapter la commande indiquée ici mais not work (sed ne semble pas recevoir le fichier)
        
        Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par NeoX le 09 mai 2017 à 18:17. Évalué à 2.
        
        plutot que de toucher au fichier /etc/hosts,
        
        tant qu'à monter une usine à gaz,
        installe un DNS sur ton serveur openvpn,
        dit lui d'ecouter sur l'IP qui sert de passerelle aux clients VPN
        et demande à openvpn de mettre à jour le DNS
        
        ce sera plus propre
        plus perenne,
        plus utile
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par NeoX le 09 mai 2017 à 18:05. Évalué à 4.
        
        -le LAN n'est pas un espace sécurisé (surtout quand je passerai en IPv6)
        
        le VPN entre 2 machines d'un LAN ne securise rien
        tu chiffres la communication entre ces 2 machines, comme avec SSL, TLS etc
        
        mais le LAN c'est generalement TON reseau, donc TA securité,
        hormis s'embeter à ajouter des couches de protocole (tunnel VPN(tunnel SSH(contenu)))
        je ne vois toujours pas l'utilité
        
        -en finir avec les tunnel SSH qui partent dans tout les sens et qui nécessitent leur lot de configuration
        
        parce que "monter un tunnel SSH qui te permet de monter un tunnel VPN" juste pour simplifier ton usage des tunnels SSH c'est se simplifier la vie ?
        
        tu vas donc faire plusieurs tunnels VPN vers chacun de tes serveurs, donc autant de fichier de config à gerer, sans compter le tunnel SSH pour ouvrir le "serveur VPN" à ta machine local ?
        
        -rediriger les flux du reverse proxy plus proprement (par exemple là j'avais une redirection vers un prestashop, qui transitait par un tunnel SSH et prestashop râlait car pour lui hostname:8443 != hostname)
        
        pourquoi tu passes par un tunnel SSH pour acceder à un serveur local ?
        
        -faciliter l'accès à mes services (exemple dans firfox je devais taper 127.0.0.1:8080/ pour acceder au service sur server A, 127.0.0.1:8081 pour accéder au service sur server B, maintenant je peux utiliser direct les IP statique dans le VPN que j'ai ajouté en marque page)
        
        tu peux aussi utiliser les IPs virtuelles 127.0.0.1, 127.0.0.2 127.0.0.3, etc etc
        
        et sur une machine distance tu peux aussi avoir plusieur IP virtuelle/secondaire (192.168.x.1, 192.168.x.2, 192.168.x.3…)
        
        -fixer les IP indépendamment du routeur/DHCP
        
        là aussi tu peux avoir une machine avec un reseau 192.168.1.0/24 fournit par le routeur/dhcp et acceder à internet par celui là
        
        mais utiliser le reseau 192.168.2.0/24 pour tes maquettes
        
        donc NON le VPN n'est pas la solution aux problemes que tu te crees
        
        le VPN pourra par contre te servir quand tu voudras, depuis l'exterieur, te connecter à ton datacenter (serveur VPN1), ou à la maison (serveur VPN2)
        
        une fois les VPNs ouverts, la magie s'opere, et tes flux transitent comme si tu etais sur ton LAN, pas besoin de tunnel ssh, de redirection de port, de reverseproxy…
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par EauFroide le 09 mai 2017 à 18:35. Évalué à -2.
        
        le VPN entre 2 machines d'un LAN ne securise rien
        
        Avec ettercap je peux aisément récupérer le flux de données entre server Piwik http (ou https autosigné) et le client. Je n'ai pas encore testé, mais je ne pense pas pouvoir faire pareil quand la communication passe par le VPN (vu que les clés de crypto sont insérées directement dans le fichier de configuration .ovpn)
        
        mais le LAN c'est generalement TON reseau, donc TA securité,
        
        Dans mon cas ça ne l'est pas. C'est compliqué :)
        
        parce que "monter un tunnel SSH qui te permet de monter un tunnel VPN" juste pour simplifier ton usage des tunnels SSH c'est se simplifier la vie ?
        tu vas donc faire plusieurs tunnels VPN vers chacun de tes serveurs, donc autant de fichier de config à gerer, sans compter le tunnel SSH pour ouvrir le "serveur VPN" à ta machine local ?
        
        Pour les machines sur le même LAN, pas besoin de tunnels. Pour les messages hors LAN, j'ouvrirai probablement un port dans le NAT.
        Le tunneling SSH c'est surtout pour les machines mobiles qui parfois sont sur le même LAN, parfois pas (sachant que dans mon cas l'hairpinning n'est pas fonctionnel)
        
        pourquoi tu passes par un tunnel SSH pour acceder à un serveur local ?
        
        Alors en gros : dans le reverse proxy apache2 j'ai du lui ajouter un paramètre afin qu'apache2 ne vérifie pas le certificat TLS (= faille de sécurité) car certificat autosigné (le certificat trust étant géré par le frontend/reverse proxy).
        Comme j'avais pas envie que le premier MITM venu arrive à se taper entre le frontend et l'hébergeur => SSH Tunneling (maintenant remplacé par le VPN).
        
        de reverseproxy
        
        Je suis en IPv4 si je veux publier des sites sur plusieurs machines je suis obligé soit d'ouvrir plusieurs ports sur le NAT (méthode facile) soit passer par le reverse proxy. Sachant que les certificats TLS ne sont valide que pour les ports 80, 443, 8080 et 8443 (avant qu'on viennent encore me dire "meuh moi je l'utilise sur un autre port pour du XMPP" => testez avec un navigateur Web et pas avec un logiciel de XMPP, vous aurez une belle alerte de sécurité que Michu n'est pas capable de passer).
        Le VPN a ce niveau ne va rien changer :)
        
        Après je pense l'avoir mis dans le tuto mais les seuls intérêt de faire du tunneling SSH over Tor pour joindre un VPN c'est d'outrepasser l'hairpinning foireux sans modifier le NAT et/ou s'amuser à créer un tunnel de crypto monstrueux.
        Il va de soit que je déconseilles cette utilisation (complexe) à ceux qui ont de l'hairpinning fonctionnel.
        
        Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par NeoX le 09 mai 2017 à 18:55. Évalué à 2.
        
        tu verras avec ton DNS ce sera tout simple
        
        quand tu es dehors ton service.eaufroide.com pointe sur ton IP publique (DNS externe)
        quand tu es dedans (LAN) service.eaufroide.com pointe sur l'IP LAN de ton serveur (ou sur l'IP LAN du reverse proxy)
        
        et tu n'as alors plus de probleme de hairpinning
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par EauFroide le 09 mai 2017 à 19:06. Évalué à -2.
        
        Oui ton idée est fort intéressante, je vais très probablement traiter ce sujet prochainement, merci pour ton astuce.
        
        Un serveur DNS consomme beaucoup de ressources? (un RPI type 1B+ serait-il suffisant?)
        La communication entre les clients et le serveur DNS est-elle chiffrée? (je vais me retaper la conf de S.Bortzmeyer sur la sécurité des DNS ^ ^ )
        
        Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par NeoX le 10 mai 2017 à 10:19. Évalué à 3.
        
        La communication entre les clients et le serveur DNS est-elle chiffrée
        
        non, mais c'est pas grave car ce sera DANS le VPN
        donc client <=> service VPN <=> Serveur VPN <=> Service DNS
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par EauFroide le 10 mai 2017 à 15:13. Évalué à 2.
        
        non, mais c'est pas grave car ce sera DANS le VPN
        
        En "pushant" l'adresse du DNS dans les options du VPN pour remplacer son IP privé par l'IP dans le VPN?
        
        C'est ingénieux, j'aime beaucoup ton idée NeoX ;)
        
        Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par NeoX le 11 mai 2017 à 15:45. Évalué à 3. Dernière modification le 11 mai 2017 à 15:45.
        
        C'est ingénieux, j'aime beaucoup ton idée NeoX ;)
        
        ce n'est pas "ingenieux"
        c'est comme ca qu'on fait quand on est dans le metier,
        
        tout comme on ne reinvente pas la securité par des tunnels ssh pour monter un VPN dedans, alors qu'on est dans un LAN
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par EauFroide le 11 mai 2017 à 16:18. Évalué à 2. Dernière modification le 11 mai 2017 à 16:21.
        
        tout comme on ne reinvente pas la securité par des tunnels ssh pour monter un VPN dedans, alors qu'on est dans un LAN
        
        Les tunnels SSH sont la seule méthode fonctionnelle que j'ai actuellement trouvé pour faire passer du trafic réseau par Tor si le besoin s'en fait ressentir :)
        En effet Ubuntu/Debian n'est pas capable, par défaut, de faire communiquer n'importe quel logiciel client avec un .onion (faudrait que je me penche du côté des proxy)
        Ce mécanise m'évite aussi de dépendre des fournisseurs de nom de domaine (je n'ai certes eu aucun soucis avec netlib.re jusqu'à maintenant, mais j'ai bien retenu la leçon de no-ip qui me bloquait mon nom de domaine régulièrement :P )
        
        PS: je trouve aussi con l'idée du tunnel SSH en LAN pour faire transiter la communication VPN, s'était la solution de facilité (l'idée du fichier /etc/hosts dynamique me trotte dans la tête depuis un moment mais je n'avais pas encore tenté de scripter quelque chose :) )
        
        Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par Nils Ratusznik (site web personnel, Mastodon) le 10 mai 2017 à 15:33. Évalué à 4.
        
        Un Raspberry Pi B+ suffira amplement. Personnellement, j'en ai 2 d'entre eux qui font DNS+DHCP, sous NetBSD. J'en ai deux pour faire de la tolérance aux pannes, mais un est largement suffisant d'un point de vue charge.
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par EauFroide le 23 mai 2017 à 14:20. Évalué à 1.
        
        Bête question :
        comment on fait, en ligne de commande, pour spécifier un serveur DNS sur un réseau filaire et conserver le mode automatique sur les autres réseaux filaire (sur la même carte réseau)
        
        Donation Bitcoin : 1N8QGrhJGWdZNQNSspm3rSGjtXaXv9Ngat
        
        [^] # Re: sans tunnel en Lan, avec Tunnel en WAN/Tor
        
        Posté par NeoX le 23 mai 2017 à 17:40. Évalué à 2.
        
        ben tu fais une config reseau statique pour quand tu es "chez toi"
        et une config reseau DHCP pour quand tu n'es pas chez toi
        
        donc je ne sais pas comment tu geres tes reseaux habituellement, mais à l'ancienne c'etait
        
        sur debian
        /etc/network/interfaces
        
        sur redhat/centos
        /etc/sysconfig/network-script/ifcfg-tacarte
        
        de maniere moderne, ce serait avec Network-Manager
        tu crees des profils "chezmoi" ou "automatique"
        tu met ce que tu veux dedans.
        
        perso c'est la methode network-manager que j'utilise,
        ainsi que je peux etre sur un hotspot en automatique, et ouvrir automatiquement le VPN vers le bureau,
        ou bien etre chez le client en IP fixe car son firewall a des autorisations speciales pour moi
        ou bien etre chez moi, en DHCP sans le VPN (usage perso)

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.