Как на роутере с DD-WRT открыть доступ к порту SSH-туннеля сделанного без openSSH?

Question

[hostadmin]

Есть домашний роутер с DD-WRT (192.168.1.1).
Есть 3g-роутер на даче с OpenWrt.

Задача: иметь доступ с домашних компьютеров к веб-морде дачного роутера.

Сделан SSH-туннель, который запускает на дачном 3g-роутере коммандой
dbclient -i /root/id_rsa -f -N -R 8888:127.0.0.1:80 root@ddwrthost

Туннель прекрасно поднимается и введя на домашнем роутере что-то типа wget http://localhost:8888 получим главную страницу веб-морды удаленного 3g-роутера. Но никак не получается добраться до веб-морды с домашнего компа. По логике вещей надо вводить адрес 192.168.1.1:8888, но браузер не коннектится.

Что я делаю не так?

Comments

[shadowalone]

А посмотрите на домашнем рутере, на каких адресах слушается порт 8888, сразу станет понятно.

Answer 1

[hostadmin]

Победил!
Оказалось, что по умолчанию dd-wrt запускает dropbear без возможности пробрасывания порта от любого хоста. Чтобы он разрешил подключения отовсюду, надо поставить вот эту галку:

Answer 2

[shadowalone]

Поробуйте поднимать тунель вот так:
dbclient -i /root/id_rsa -f -N -R 192.168.1.1:8888:127.0.0.1:80 root@ddwrthost

Comments

[hostadmin]

Попробовал. Тоже самое — комп достучаться не может, а роутер страницу видит.

[shadowalone]

ну так посмотрите, слушаеться ли порт на этом адресе.
Запустите nmap на доамашний рутер, с домашнего компа — посмотрите открыт ли порт. Если закрыт, откройте в файрволе на рутере.

[hostadmin]

нету nmap на роутере :( а как принудительно ему порт открыть?

[shadowalone]

да при чем тут роутер? Вы сами хоть понимаете что делаете?
На компе запустите и направьте на роутер.
Посмотрите вывод iptables -L -n -v на роутере с dd-wrt

[hostadmin]

Chain INPUT (policy ACCEPT 63 packets, 7866 bytes) pkts bytes target prot opt in out source destination 0 0 DROP tcp -- ppp0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:23 0 0 DROP tcp -- ppp0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:23 Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 0 0 ACCEPT 0 -- br0 br0 0.0.0.0/0 0.0.0.0/0 8 396 TCPMSS tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x06/0x02 TCPMSS clamp to PMTU 143 17999 lan2wan 0 -- * * 0.0.0.0/0 0.0.0.0/0 85 9169 ACCEPT 0 -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 0 0 ACCEPT udp -- * * 0.0.0.0/0 192.168.1.33 udp dpt:42121 0 0 ACCEPT tcp -- * * 0.0.0.0/0 192.168.1.33 tcp dpt:42121 15 2035 ACCEPT udp -- * * 0.0.0.0/0 192.168.1.105 udp dpt:1778 0 0 ACCEPT tcp -- * * 0.0.0.0/0 192.168.1.105 tcp dpt:1778 0 0 ACCEPT tcp -- * * 0.0.0.0/0 192.168.1.103 tcp dpt:87 0 0 ACCEPT udp -- * * 0.0.0.0/0 192.168.1.103 udp dpt:87 0 0 ACCEPT tcp -- * * 0.0.0.0/0 192.168.1.100 tcp dpt:3567 0 0 ACCEPT udp -- * * 0.0.0.0/0 192.168.1.100 udp dpt:3567 0 0 ACCEPT tcp -- * * 0.0.0.0/0 192.168.1.221 tcp dpt:6653 0 0 ACCEPT udp -- * * 0.0.0.0/0 192.168.1.221 udp dpt:6653 0 0 ACCEPT tcp -- * * 0.0.0.0/0 192.168.1.21 tcp dpt:1778 0 0 ACCEPT udp -- * * 0.0.0.0/0 192.168.1.21 udp dpt:1778 0 0 ACCEPT tcp -- * * 0.0.0.0/0 192.168.1.100 tcp dpt:3389 0 0 ACCEPT udp -- * * 0.0.0.0/0 192.168.1.100 udp dpt:3389 0 0 ACCEPT tcp -- * * 0.0.0.0/0 192.168.1.1 tcp dpt:8888 0 0 ACCEPT udp -- * * 0.0.0.0/0 192.168.1.1 udp dpt:8888 0 0 ACCEPT tcp -- * * 0.0.0.0/0 192.168.1.221 tcp dpts:10000:20000 0 0 ACCEPT udp -- * * 0.0.0.0/0 192.168.1.221 udp dpts:10000:20000 0 0 TRIGGER 0 -- ppp0 br0 0.0.0.0/0 0.0.0.0/0 TRIGGER type:in match:0 relate:0 43 6795 trigger_out 0 -- br0 * 0.0.0.0/0 0.0.0.0/0 43 6795 ACCEPT 0 -- br0 * 0.0.0.0/0 0.0.0.0/0 state NEW

nmap на виртуалке с линуксом запустил, вот результат:
# nmap 192.168.1.1 Starting Nmap 5.00 ( http://nmap.org ) at 2012-07-28 12:47 MSK Interesting ports on TP-Link (192.168.1.1): Not shown: 993 closed ports PORT STATE SERVICE 21/tcp open ftp 22/tcp open ssh 23/tcp open telnet 53/tcp open domain 80/tcp open http 443/tcp open https 9100/tcp open jetdirect MAC Address: 54:E6:FC:FA:00:00 (Unknown) Nmap done: 1 IP address (1 host up) scanned in 0.48 seconds

[shadowalone]

Не открыт у Вас порт 8888 на рутере — это раз.
И два — можно же выложить всё это в удобочитаемом виде, по строкам, а не как попало.
добавьте в правило iptables:
iptables -I INPUT -p tcp --dport 8888 -j ACCEPT
и посмотрите на самом рутере, слушается ли порт 8888:
netstat -atne

[shadowalone]

ну то есть, в файрволе то от открыт, и даже для udp почему-то, но сканер не видет что он слушаеться.

[hostadmin]

после iptables в netstat есть такая строчка:
tcp 0 0 127.0.0.1:8888 0.0.0.0:* LISTEN

[shadowalone]

ну так порт слушается по 127.0.0.1, а Вам надо чтоб слушало на 192.168.1.1, запускайте тунель командой которую я написал в самом начале.

[hostadmin]

Попробовал, netstat всё равно показывает 127.0.0.1.

Answer 3

[smartlight]

может дома стоит подключить DynDNS и окрыть www в мир?

Comments

[hostadmin]

удаленный роутер за натом билайна.

[smartlight]

тогда подымайте впн

Answer 4

[Ruma7a]

А чего бы вам туннель не открывать прямо с домашнего компа, если вам вёб-морду хочется на домашнем компе смотреть, м? Ну, клиенты под все ОС это дело поддерживают, (win — putty, *nix — ssh) в чём смысл поднятия туннеля именно на маршрутизаторе?

Comments

[Ruma7a]

Опа, до меня дошло ) Я думал в с домашнего маршрутизатора запускаете туннель. Извините, погорячился ))

[Ruma7a]

И да, может попробуете на домашнем маршрутизаторе настроить статический NAT — 192.168.1.1:8888 -> 127.0.0.1:8888?

[hostadmin]

пробовал, не помогло

[Ruma7a]

Странно, что пробовали, у меня вот домашний TrendNet не разрешает форвардить на 127.0.0.1, как только что оказалось :)

Тогда, позвольте последний аттракцион в этом моём шоу дурацких идей — попробуйте поднять туннель с домашнего компа на домашний роутер с пробросом локального порта 8888 домашнего компа в localhost:8888 домашнего роутера, при, соответственно поднятом туннеле на 8888 со стороны дачного 3G.

[hostadmin]

Не получится второй туннель, т.к. 8888 порт будет уже занят вторым туннелем :(

[Ruma7a]

Сегодня явно не мой день )

^{Шапочка-смекалочка — ты презреннейший из шлемов! Твоему лживому фетру и предательской подкладке более нет места на моей голове!}

Answer 5

[dennzo]

Не вижу проблем. На дд-врт ищем описание овпн точка-точка, копипастим два скрипта через вебморду, (или же по-другому, кто умеет)

делаем - дачный вызывающим, домашний слушающим/сервером, и тогда дачный сам будет устанавливать тоннель, а в нем делайте что хотите. Заодно решение всех вопросов с не-белым и динамическим ип без однс итп но-ип служб, которые не всегда работают, как хотелось бы.

то, что дачный с оврт а не дд - не проблема, но в скрипте овпн-клиента для дд что-то пришлось мне подправлять, когда делал клиентом оврт - путь к чему-то или вроде того,
по мелочи.