Metainformationen zur Seite
  •  

Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen RevisionVorhergehende Überarbeitung
Nächste Überarbeitung
Vorhergehende Überarbeitung
ssh [2020/05/10 09:48] – [Problem] cbssh [2020/05/10 18:18] (aktuell) – [Realisierung] cb
Zeile 11: Zeile 11:
 ====Standardanwendungen==== ====Standardanwendungen====
 ==Shell auf dem Zielserver benutzen== ==Shell auf dem Zielserver benutzen==
 +Mit dem Befehl <code> ssh user@servername </code> meldet man sich an dem Server an und erhält eine shell, d.h. man kann nun Betriebssystembefehle eingeben.
 +Mit dem Befehl <code> ssh -c user@servername -p 12321 -t top</code> wird der Server auf der Portnummer 12321 aufgerufen, die Komprimierung eingeschaltet und mit einer robusteren Terminalemulation der Befehl top gestartet. Mit -t ist auch ein sudo-Befehl mit interaktiver Passworteingabe möglich.
 +   
 ==Portweiterleitung nutzen== ==Portweiterleitung nutzen==
 +Szenario: Man möchte einen Heizungsrechner (oder Stundenplanrechner) per RDP (Portnummer 3389) erreichen. Diesen Port im Internet direkt freizugeben erfordert Mut und viel Wissen (z.b. wie verhindert man ein Downgrade der Sicherheitseinstellungen). Besser ist es, wenn man aus dem Internet einen Gatewayserver per ssh auf einem ungewöhnlichen Port erreicht. Dieser wiederum kann dann den Heizungsserver auf seinem Port erreichen.
 +
 +Schritt 1: Auf der Kommandozeile oder in einem Skript ruft man auf:
 +<code>ssh -L 33389:heizungsrechner:3389 user@gatewayserver -p 12321</code>
 +
 +Schritt 2: Man startet einen RDP-Viewer und verbindet sich mit localhost:33389, nutzt dann aber Name und Passwort des Heizungsrechners.\\
 +Nun kann man an dem Rechner arbeiten. Schließlich beendet man den Viewer.
 +
 +Schritt 3: Man beendet wieder den ssh-Task von Schritt 1.
 +
 ==Graphisches Programm für Xserver remote benutzen== ==Graphisches Programm für Xserver remote benutzen==
-====Realisierung====+Mit dem Befehl <code> ssh -X user@servername xeyes</code> startet man das Programm xeyes, dessen Ausgabe nicht auf dem Serverbildschirm, sondern via SSH zum eigenen Bildschirm weitergeleitet wird. So kann man dann auch einen graphischen Editor oder einen Browser starten, wird aber teilweise von der Performance enttäuscht sein. 
 +====Best Practise==== 
 +Man sollte bei ssh im Internet nicht mit Passwörtern sondern nur mit Keys arbeiten.
 ssh -X name@server ssh -X name@server
  
Zeile 20: Zeile 35:
 ssh-copy-id name@server ssh-copy-id name@server
  
-Stellt eine Verbindung zum server her. Dabei wird der Useraccount name genutzt (mit X-Forwarding).+Stellt eine Verbindung zum Server her. Dabei wird der Useraccount name genutzt (mit X-Forwarding).
 Nachdem einmalig ssh-keygen auf der Workstation ausgeführt wurde, kopiert man diesen Key auf jeden Server. So kann man sich ohne Passwort dort anmelden. Nun kann auch die originale PermitRootLogin-Zeile wiederhergestellt werden Nachdem einmalig ssh-keygen auf der Workstation ausgeführt wurde, kopiert man diesen Key auf jeden Server. So kann man sich ohne Passwort dort anmelden. Nun kann auch die originale PermitRootLogin-Zeile wiederhergestellt werden
  
 +Man kann auch den ssh-Server so konfigurieren, dass er aus einem bestimmten Netz oder von einer bestimmten IP-Adresse aus mit Passwort, sonst aber nur per key zu erreichen ist. Dokumentieren!
 ====SSH-Sicherheit==== ====SSH-Sicherheit====
 Verbindet man einen Rechner ungeschützt mit dem Internet, so werden innerhalb kürzester Zeit automatische "Angriffe" (eigentlich nur unberechtigte Loginversuche) auf einen vorhandenen SSH-Dienst einprasseln. Es wird versucht sich mit Standardloginnamen (root, admin, administrator usw.) mit Standardpasswörtern (password, password1, passw0rd, 12345678 usw.) anzumelden. Da Computer dieses Ziel hartnäckig verfolgen, kann ein Glückstreffer zum Unglück des Serverbesitzers führen. Außerdem werden Logfiles und Internetverbindung gefüllt. Verbindet man einen Rechner ungeschützt mit dem Internet, so werden innerhalb kürzester Zeit automatische "Angriffe" (eigentlich nur unberechtigte Loginversuche) auf einen vorhandenen SSH-Dienst einprasseln. Es wird versucht sich mit Standardloginnamen (root, admin, administrator usw.) mit Standardpasswörtern (password, password1, passw0rd, 12345678 usw.) anzumelden. Da Computer dieses Ziel hartnäckig verfolgen, kann ein Glückstreffer zum Unglück des Serverbesitzers führen. Außerdem werden Logfiles und Internetverbindung gefüllt.