IP Masquerade und kleines 1*1 zu Tcp/ip

[blub4747]

Halli Hallo,
Ich habe eine frage zu IP Masquerade.
Ich moechte gerne ssh bzw tcp22 nach aussen durch meinen router freigeben,allerdings fuer mehr als eine IP addresse.Weil ich verschiedene VM's mit SSH habe.
Bis jetzt habe ich geschaft port 22 fuer nur eine maschine frei zu geben, und nun moechte ich gerne wissen ob ich vor einen unmoeglichen problem stehe (also tcp/ip sicht)
leider muss ich sagen das ich nicht herraus bekommen kann wer der richtige herrsteller von den router.(irgened ein umgestempletes ding LEIDER)
Thx im vorraus fuer alle antoworten,blub474

 

[WTH0_0]

Wieviele externe IP Adressen hast du denn zur Verfügung? Wenn du nur eine hast (normaler DSL Anschluss z.B.) musst du mit PAT (Port Address Translation) arbeiten, d.h. z.B. deine.ip:22 wird vom Router nach VM1.IP:22 geleitet; deine.ip:23 wird vom Router nach VM2.IP:22 geleitet usw.

 

[d2boxSteve]

Hi,

da gibts nur eine sinnvolle Lösung:

aus dem Internet konfigurierst du z.B. folgende Ports:

10001 --> erste VM Port 22
10002 --> zweite VM Port 22
10003 --> dritte VM Port 22
usw.

Bei SSH Programmen kann man immer den Port von 22 auf eben 10001 usw. ändern und hat dann die entsprechende Maschine.

Grüße,
d2boxSteve

 

[Sannyboy111985]

Kann mich nur anschließen

PAT mit Portumbiegen ist der einzige Weg.

 

[WTH0_0]

Sinnvoll wäre aber eine Vergabe der Ports ab 49152 bis 65535, da diese keine registrierte Funktion haben.

PAT ist halt nur von Nöten, wenn nur eine externe IP zur Verfügung steht (oder nur eine für diesen Zweck genutzt werden soll), was hier wohl mit hoher Wahrscheinlichkeit so ist. Ansonsten kann halt NAT (Native Address Translation) benutzt werden.

 

[d2boxSteve]

@ WTH0_0:

stimmt, hast Recht.

Auszug Wikipedia:

Die restlichen Ports von Portnummer 49152 bis 65535 sind so genannte Dynamic und/oder Private Ports.

Gruß,
d2boxSteve

 

[marcol1979]

Du kannst einen Port nicht an mehrere weiterleiten.
Musste es so machen wie "d2boxSteve" es sagt, mit Portumleitung.

 

[blub4747]

wegen der 1sten frage:Leider habe ich nur eine dynamische ip addresse.
wegen no2
meinst du damit das ich meinen ssh client z.b putty sagen soll, das er
meine ip addressse folgender massen ansprechen soll?
xxx.xxx.xxx.xxx:10002

kleiner nachtrag noch am rande.
Ich habe mit seit kurzen einen dd-wrt aufgestellt und ueberlege, ob es nicht moeglich ist dieses ganzes IP Masquerade problem in eine DMZ abzuschieben.

10001 --> erste VM Port 22
10002 --> zweite VM Port 22
10003 --> dritte VM Port 22
usw.

Bei SSH Programmen kann man immer den Port von 22 auf eben 10001 usw. ändern und hat dann die entsprechende Maschine.

 

[marcol1979]

wegen der 1sten frage:Leider habe ich nur eine dynamische ip addresse.

Dafür gibt es DynDNS und Co.

Bei Putty kannst doch den Port direkt angeben.

 

[blub4747]

Nun ja der teil mit Dyndns war mir schon klar, wer will sich taeglich neue ip addressen einpraegen.
was ich eher meinte, muss ich dann den SSH server auf der VM einen anderen port angeben und in gegenzug in putty immer den entsprechen den port anderen.
klingt ja auch etwas kramphaft.

10001 --> erste VM Port 22
10002 --> zweite VM Port 22
10003 --> dritte VM Port 22

Putty->meinedyndns addresse:10002
Putty->meinedyndns addresse:10003
etc

http://www.cyberciti.biz/tips/linux-unix-bsd-openssh-server-best-practices.html

#9: Change SSH Port and Limit IP Binding

By default SSH listen to all available interfaces and IP address on the system. Limit ssh port binding and change ssh port (by default brute forcing scripts only try to connects to port # 22). To bind to 192.168.1.5 and 202.54.1.5 IPs and to port 300, add or correct the following line:

Port 300
ListenAddress 192.168.1.5
ListenAddress 202.54.1.5

A better approach to use proactive approaches scripts such as fail2ban or denyhosts (see below).

ich werds auf jeden mal ausprobieren.
thx fuer die antworten,blub4747

 

[marcol1979]

muss ich dann den SSH server auf der VM einen anderen port angeben und in gegenzug in putty immer den entsprechen den port anderen.

Nein, die internen Ports bleiben ja bei 22.
Nur von aussen (Internet) musst halt deine 10000er Ports angeben, umleiten macht der Router dann.