ssh kako da prodje kroz nat

Imam jedan server iza nat - privatna adresa. U pitanju je Cisco 2801. Hocu da dam pristup tome serveru da moze da mu se pristupi natu put ssh veze. Neko mi je rekao da ima takozvana ssh port forwarding i jedino sto sam nasao je ip nat source static tcp privatna adresa 22 javna adresa 22. Ono sto dobijam nisam siguran da mi to treba. A ako mi treba kako da napravim neku access-nu listu da odredim tacno iz koje lokacije saobracaj dopustam da putem ssh pristupi mom serveru? Nemam firewall osim rutera pod svojom kontrolom.

Ruter ima neke firewall funkcije pa sa mislio da li postoji nacin da se to uradi drugcije?

Dobro si nasao, to je to ako zelis da ti se neko ssh-uje na taj server od spolja. Za access liste bi ti preporucio da ih ne pravis za to, iz prakticnih razloga: Nikad ne znas gde ces se zadesiti i odakle ce ti trebati ssh.... Primera radi, ja za takve stvari imam ssh na mobilnom, koji ima i Wi-FI. Sam ssh je po definiciji bezbedan, tako da nije tema za brigu, samo iskljuci root login i uzivaj.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Znam da na primer:

ip nat inside source static inside_local_source_IP_address inside_global_source route-map mymap

Sada moje je pitanje kako da postavimo tu route-map. Da li ovako?

ip nat inside source static 192.168.9.2 212.210.56.87 route-map mojamapa

route-map mojamapa permit 10
match ip address 123

access-list 123 ip 87.87.87.0 0.0.0.255 192.168.9.2 0.0.0.0.


Da li time ogranicavam pristup mom serveru na 192.168.9.2 samo sa adresa na 97.87.87.0 podmrezi?

Nisam koristio rout map u ovakvim situacijama ne znam da li moze. Ja bih to uradio ovako:

Kreiranje NAT-a


Kreiranje liste


Na spoljasnjem interfejsu prema internetu:

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

ssh pristup mi i dalje ne radi i nisam postavio access liste. Imam samo nat staticku translaciju za taj port. Na spoljnem interface-u sam postavio ip nat outside Nemam ni tu komandu
ip nat inside source list 888 pool natpool overload, tako kada idem na internet moje adrese nisu translirane i poslate ka ISP ruter (kod mene ali bez pristupa) u originalnom stanju.

Imam sve sto se ocekuje na ip nat translations,
no to ipak ne radi. Za ssh klijenat koristim putty i on mi daje poruke kao network error: timeout.

Ajde banalno pitanje. Ima li taj host 192.168.9.2 podesen default gateway?

Potpis

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Host nije pod mojom kontrolom, ali preko putty kad asam u untrasnjoj mrezi ja mogu da mu pristupim i dobijam ono pitanje trusted itd. Medjutim kada sam spolja onda ne mogu. I ne znam zasto. Putty mi daje skoro nista info.

=~=~=~=~=~=~=~=~=~=~=~= PuTTY log 2008.12.02 21:24:05 =~=~=~=~=~=~=~=~=~=~=~=
Event Log: Writing new session log (SSH raw data mode) to file: C:\boson\putty.log
Event Log: Looking up host "212.xxxxxxxx
Event Log: Connecting to 212.xxxxxxxx port 22
Event Log: Failed to connect to 212.xxxxxxxx: Network error: Connection timed out
Event Log: Network error: Connection timed out

Jos jedno banalno pitanje: Da li slucajno na tom serveru postoji firewall koji zabranjuje ssh saobracaj sa svih adresa osim sa adresa koje pripadaju lokalnoj mrezi?

Proveri i da li radi nat preko show ip nat translations....

Nije u pitanju firewall. Instalirao sam na drugom pc freessh i ista prica.
Frisco#sh ip nat translations
Pro Inside global Inside local Outside local Outside global
tcp 212.210.x.x:22 192.168.x.x:22 --- ---
tcp 212.210.x.x:22 192.168.x.x:22 --- ---
udp 172.19.50.4:2100 192.168.200.110:2100 172.19.50.3:2100 172.19.50.3:2100
--- 172.19.50.4 192.168.200.110 --- ---


Ona dva reda donja su static nat sto koristim za GRE Tunnel

Jel mozes da postujes config sa rutera (skloni passworde, kljuceve, promeni descriptione ako treba, javne adrese, itd.)?

12-02-2008 23:07:10 IP 93.86.0.141 SSH connection attempt.
12-02-2008 23:07:11 IP 93.86.0.141 SSH disconnected.

Ovo je sta sam nasao u logging na mom test komjuteru. On kontaktira ali ne moze da se veze. Taj 93 j emoj kucni komp.

interface FastEthernet0/0
description Unutrasnja mreza
ip address 172.x.z.z 255.255.255.0 secondary
ip address 192.168.0.10 255.255.255.0
ip access-group permit-all out
ip nbar protocol-discovery
ip nat inside
ip virtual-reassembly
no ip route-cache cef
no ip route-cache
ip policy route-map source-route
duplex auto
speed auto
!
interface FastEthernet0/1
description Javne IP adrese
ip address 212.x.x.x. 255.255.255.224
ip nbar protocol-discovery
no ip mroute-cache
duplex auto
speed auto
crypto map CRYPTO

interface Tunnel0
description GRE ka DDOR Auto
ip address 172.19x.y 255.255.255.248 secondary
ip address 172.19.x.y 255.255.255.248
ip nat outside
ip virtual-reassembly
tunnel source 212.200.y.z
tunnel destination 212.200.x.y

ip http server
ip http authentication local
no ip http secure-server
ip nat inside source static 192.168.200.110 172.19.50.4
ip nat inside source static tcp 192.168.0.12 212.x.y.z 22

Iz logova sa source uredjaja necemo nista moci da zakljucimo. Logovi sa rutera bi nam vise koristili. Kao i konfiguracija rutera (pogledaj prethodni post)....

Ono je bio log od freessh servera, sto znaci da se dodje do servera samo sto server ne uspostavi konekciju sa udaljenim hostom zbog nekog razloga.
Mislis na na debug nat ili nesto drugo?
Nemam nista nashow logging u vezi nata.

Evo i loga od debug ip nat detailed


Dec 3 08:14:16.509: NAT*: o: tcp (91.143.220.124, 3750) -> (212.x.y.z, 22)
[20735]
Dec 3 08:14:16.509: NAT*: s=91.143.220.124, d=212.x.y.z->192.168.0.163 [20
735]
er
Dec 3 08:14:22.537: NAT*: o: tcp (91.143.220.124, 3750) -> (212.x.y.z, 22)
[20796]
Dec 3 08:14:22.537: NAT*: s=91.143.220.124, d=212.x.y.z->192.168.0.163 [20
796]


Nisam bas siguran da znam da citam taj log, ali kao da nije dao port 22. Mislim ne vidim port broj.
stavio sam :

debug ip nat debug detailed

Stavio sam i razlicite portove.

Moj debug daje sledece:



Dec 4 11:57:48.477: NAT*: TCP s=52674, d=1956->22

Dec 4 11:57:48.481: NAT*: s=93.86.x.x, d=212.x.x.x->192.168.x.x [12859

]

ethereal kaze da stvarno dolazi ssh signal do SSH servera. I da ima port 22.

Stavljam i pravu adresu izlaznog interface-a umesto alociranih adresa od ISP no sve je isto.

Zamenjujem server FreeSSH sa WinSSHD i dobijam poruku u logu:



000000000006 2008-12-04 12:58:17.592978 UTC WinSSHD 5.03 [021] Info
Session thread 1002 handling connection from 93.86.88.69:52716:
Connection from 93.86.88.69:52716 accepted.

000000000007 2008-12-04 12:58:17.594649 UTC WinSSHD 5.03 [095] Info
Session thread 1002 handling connection from 93.86.88.69:52716:
Connection terminated by TCP/IP socket error:
Component: winsshdManager/socketReader
FlowSocketReader: Error receiving bytes.
Windows error 10054: An existing connection was forcibly closed by the remote host.

Kao da kaze da je ta konekcija prihvacena ali da je zatim zatvorena zbog greske u TCP/IP socket-u.

Neznam sta sada trebada debagujem?