Как настроить доступ на guest по ssh?

Question

[Павел Безруков]

Для начала цель.
Необходимо настроить 4 ноды, 1-на для тестового сервера, остальные для работы разработчиков.

Арендую выделенный сервер, получаю ip адрес и root доступ.
Имею домены dev.ru, n1.dev.ru, n2.dev.ru, n3.dev.ru, ... направленные на полученный ip
Устанавливаю докер и создаю контейнеры, на каждом из контейнеров поднимаю ssh сервер, в файле hosts host машины настраиваю dns соответствия n1-n`n машин статическим адресам guest машин.

Для доступа по 80 порту я так понимаю что просто поднимается nginx на host машине, а вот как быть с ssh доступом?
Каким образом мне нужно настроить сетевые интерфейсы на host машине и guest1 чтобы иметь возможность подключаться по ssh пользователям user@@dev.ru:22, [e-mail]:22, и т.д. при этом попадая или на host машину или guest`n соответственно?

Comments

[Lynn «Кофеман»]

Ходите по разным портам. Ssh работает по ip и ему без разницы dev.ru или n1.dev.ru если они смотрят на один и тот же ip-адрес

[Павел Безруков]

Алексей Тен: А почему без разницы? Он работает на прикладном уровне, что мешает на уровне ниже сделать проброс на guest машину, на сетевом например, как вариант? Как правда я не знаю, но об этом и вопрос. Я так понимаю что если он ни в каком виде не передаёт информацию о ns только в этом варианте это невозможно, а как работает протокол я пока не знаю.

[Lynn «Кофеман»]

Павел Безруков: ssh не говорит серверу по какому хосту он к нему пришел. Только ip и порт. Поэтому у вас есть два варианта: прокидывать разные порты на разные машины или ходить по ssh на основную машину, а потом еще раз до нужного хоста

[Павел Безруков]

Алексей Тен: Я вас понял, большое спасибо.
Извините а можно немного отойти от темы. Вы не знаете, а по протоколу ftp хост передаётся? На многих хостингах в панели администратора мы можем создавать ftp пользователей и давать им доступ по ssh? Это не может стать 3-м вариантом решения?

[Lynn «Кофеман»]

Нет. Хосты появились только в http и то не сразу. В http 0.9 никаких хостов ещё не было.

[Lynn «Кофеман»]

Ещё вариации второго решения это создание специальных пользователей на гостевой системе при логине которыми автоматически происходит ssh в нужный контейнер

[Павел Безруков]

Алексей Тен: Понятно. Большое спасибо вам за помощь.
Всего доброго.

Answer 1

[Игорь]

Никак. Нет такого прокси сервера для ssh, чтобы он слушая на шлюзе по домену на который Вы идете маршрутизировал бы трафик.
Я вижу 4 варианта:
1. Купить дополнительных ip и навесить их на виртуалки, чтобы у каждой был свой адрес. Каждый домен делигировать на соответствующий адрес. Это самое простое и удобное решение.
2. На контейнерах подняты "серые" адреса, в /etc/hosts хост системы прописаны соответствия доменов разработчиков этим адресам. Соответственно пользователь по ssh сначала заходит на Вашу хост систему (сервер), а оттуда уже в контейнер по "серой" сети. Очень не элегантно, но дешево и просто.
3. Разрулить все iptables, развесив правила на разные порты. Постучались на 2222 порт попали на первую виртуалку, постучались на 3333 порт попали на вторую. Настраивается легко, из неудобств нестандартные порты.
4. Если есть офис, то как-то увязать "серую" сеть контейнеров за нодой, с сетью с офисе. Обычно такое делается средствами VPN, ну и поднять в офисе DNS где делигировать доменные имена на "серые" адреса. Тут как бы и схема не отказаустойчева, так как сеть в офисе упадет и подключиться уже не смогут к контейнерам привычным способом и подключаться надо из сети офиса ( но если у Вас и так все в ней работают, то это только плюс).

Comments

[Павел Безруков]

Игорь Большое спасибо. Думаю я пойду по 3-му варианту. В комментариях к вопросу был разговор и там мне посоветовали ещё 1 интересный вариант решения: создание специальных пользователей на гостевой системе при логине которыми автоматически происходит ssh в нужный контейнер.
Я правда пока не понял как это выполнить, а времени разобраться до конца выходных, поэтому решил что возьму для начала простой 3й вариант, а чуть позже вернусь и подумаю над тем решением.

[Александр]

По ssh есть отличная статья amarao: habrahabr.ru/post/122445
Можно настроить второй вариант так, чтобы можно было заходить по ключам (пример -- в самом конце статьи).