web-dev-qa-db-ja.com

SSHDreal-ipの背後にあるhaproxy

Haproxyを使用してhttps接続を介してsshをセットアップしようとしています。

私は現在、X-Forwarded-ForまたはX-Real-IPヘッダーを読み取るのと同様に、SSHDがhaproxyからソースIPを取得する方法を探しています。

クライアント構成;

~$ cat ~/.stunnel/stunnel.conf
pid=
client=yes
foreground=yes
[ssh]
accept=4444
connect=ssh.example.com:443

クライアント出力;

~$ ssh -v -p 4444 user@localhost
OpenSSH_6.6.1, OpenSSL 1.0.1i 6 Aug 2014
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Connecting to localhost [::1] port 4444.
debug1: match: OpenSSH_6.6.1p1 Ubuntu-2ubuntu2 pat OpenSSH_6.6.1* compat 0x04000000
.....
debug1: SSH2_MSG_KEXINIT sent
Bad packet length 1349676916.
Disconnecting: Packet corrupt

サーバー構成;

~$ cat /etc/haproxy/haproxy.cfg
frontend public
        mode tcp

        bind :80
        redirect scheme https code 301 if !{ ssl_fc }

        bind :443 ssl crt example.pem no-tls-tickets

        tcp-request inspect-delay 5s
        tcp-request content accept if HTTP

        # ....
        use_backend ssh if { ssl_fc_sni ssh.example.com }


backend ssh
        mode tcp
        server ssh 127.0.0.1:22 send-proxy
        timeout server 2h

サーバー出力;

~$ tail -f /var/log/haproxy.log
Aug 15 23:31:57 localhost haproxy[50379]: 115.000.000.000:51924 [15/Aug/2014:23:31:57.907] public~ ssh/ssh 2/0/8 60 SD 0/0/0/0/0 0/0

~$ tail -f /var/log/auth.log
Aug 15 23:31:57 localhost sshd[50757]: debug1: inetd sockets after dupping: 3, 3
Aug 15 23:31:57 localhost sshd[50757]: Connection from 127.0.0.1 port 36333 on 127.0.0.1 port 22
Aug 15 23:31:57 localhost sshd[50757]: Bad protocol version identification 'PROXY TCP4 115.000.000.000 192.168.000.000 51924 443' from 127.0.0.1 port 36333

Haproxy.cfgのsend-proxy行がBad protocol version identificationを引き起こしています

send-proxyを削除すると接続できますが、これは127.0.0.1から接続し、/etc/hosts.denyに継続的に追加されます

Aug 15 23:55:22 localhost sshd[55997]: debug1: rexec start in 5 out 5 newsock 5 pipe 7 sock 8
Aug 15 23:55:22 localhost sshd[55997]: debug1: inetd sockets after dupping: 3, 3
Aug 15 23:55:22 localhost sshd[55997]: debug1: Connection refused by tcp wrapper
Aug 15 23:55:22 localhost sshd[55997]: refused connect from localhost (127.0.0.1)

私はsshがソースIPを知っていることを望みます。

sshhaproxystunnel
3
Thermionix

mode tcp、必要な tproxy 元のクライアントIPをhaproxyの背後にあるサーバーに渡します。

リンクされた記事には多くの技術的背景があり、そのほとんどはもう問題ではありません。最近のバージョンのLinuxとhaproxyは、箱から出してすぐにtproxyをサポートする可能性があります。

バックエンドセクションのTL; DR、試してみてください

source 0.0.0.0 usesrc clientip
3
Felix Frank

それは不可能です私は恐れています。 HTTPとは異なり、SSHプロトコルには、プロキシが元のソースIPが何であるかを通知する方法がありません。

1
Dennis Kaarsemaker

これは、mmproxyデーモン（SSHサーバーで実行）で終了することができます haproxyのPROXYプロトコル 。

現在、mmproxyの2つの実装があります。

次のブログ投稿でさらにリードします。

0
Onlyjob