[SSH] Vers domicile
Résolu
Bonjour,
J'aimerais avoir votre avis sur un sujet, si je veux prendre le controle d'une machine, (sous debian) de l'exterieur, vers un réseau LAN, j'imagine que je dois atteindre l'adresse publique du LAN ainsi que le port sur lequel la machine doit me repondre ?
Exemple 78.**.**.**:22 ?
Merci.
J'aimerais avoir votre avis sur un sujet, si je veux prendre le controle d'une machine, (sous debian) de l'exterieur, vers un réseau LAN, j'imagine que je dois atteindre l'adresse publique du LAN ainsi que le port sur lequel la machine doit me repondre ?
Exemple 78.**.**.**:22 ?
Merci.
6 réponses
Résumé de la discussion
Un sujet porte sur l'accès distant à une machine Debian depuis l'extérieur via une adresse publique et une redirection de port, le port 22 étant ouvert, redirigé vers le LAN. Des réponses recommandent de configurer une redirection NAT dans le routeur, de privilégier l'authentification par clé publique et de changer le port SSH vers un numéro élevé. Des discussions évoquent aussi l'importance d'un pare-feu et de mesures additionnelles comme limiter l'accès via DMZ ou VLAN, et d'évaluer les risques liés au scan des ports. Enfin, privilégier l'authentification par clé publique, limiter les accès et envisager des mesures additionnelles comme une DMZ, un pare-feu dédié et une surveillance des tentatives de connexion.
-
bonjour,
en ayant defini une route dans le routeur, normalement oui. ( jamais essayé, je tenterai ca ce soir avec ma Raspberry ^^ )
cdt
-
Bonjour,
Merci pour vos réponses rapides, donc finalement ai-je besoin d'établir une route ? Une redirection de port suffit-elle ?
Merci.-
Salut,
pas besoin de route si ça ne sort pas du réseau directement connecté à ton routeur/box.
PS,
l'ip publique du lan ça n'existe pas, c'est l'adresse ip wan du routeur dont tu parles ?
Exemple 78.**.**.**:22 ? c'est bon si le serveur ssh écoute bien sur le port 22 (on peut lui en configurer un autre). -
-
-
Bonjour,
Après essai, sur windows 8, il me manque certaines options dans le menu d'accès à distance, l'accès même en local ne fonctionne pas. -
Bonjour,
Je reviens vers vous,
j'ai reussi à faire ce que je voulais, il suffit donc de :
-posséder un client ssh sur la machine qui accèdera à la machine distance
-faire la régle dans la box (redirection de port)
-une fois fait taper l'adresse ip publique sur le bon port.
Le tour est joué.
Ma nouvelle question, en terme de risque, j'imagine que on peut scanner mes ports et voir que le port 22 est ouvert du coup... et peut être accèder à mon LAN en faisant sauter le password de ma machine accessible et de la communiquer avec le reste...
Du coup je pensais soit mettre une DMZ (VLAN non routé)
Soit un parefeu perso sur la machine accessible, voir même les 2
Avez-vous d'autre suggestion ?-
-
En effet un pare-feu n'est peut être pas le bon terme, ce que je voulais dire, c'était vouloir m'authentifier en effet avec la même ip. Mais après réflexion, les lieux de connexion peuvent varier.
Il faudrait donc que j'utilises un système de clé, et que j'enregistre toutes mes clés publiques.
Je pense que c'est la meilleur solution.
Mais autrement.
Pensez-vous qu'il reste des risques majeurs de piratage ? car du coup je compte utiliser le protocole scp pour copier des documents sur ce petit serveur et m'en fair un petit cloud au final , et éviter tout ce qui est dropbox etc...
Quels sont selon vous, les risques majeurs encore effectifs à ce type d'accès à mon LAN ? -
oui,
il y a beaucoup de tentatives d'intrusion sur ssh (tout au moins quand on le laisse en port 22, mais ça n'empêche pas).
Après, tout dépend ce que tu appelles piratage, 99 fois sur 100 tes fichiers n'intéressent que toi, surtout si ce sont tes photos du dernier anniversaire.
Ce qui intéresse le plus les pirates c'est de prendre le contrôle de ta machine afin de l'utiliser pour d'autres attaques plus valorisantes sans trop se faire remarquer. -
D'accord, je vois, il vaut mieu que je change le port, mais j'ai entendu parlé d'un outil, j'ai pu d'ailleurs l'essayé sans trop savoir comment ça marchait, c'est nmap, a priori il ferait un scan des ports, du coup. même si je change les ports, quelqu'un qui scan mes ports pourra voir que mon port xx est ouvert ?
Puis pour commencer trouver l'ip publique de quelqu'un, comment c'est possible ?
Et en dehors de ça, quand tu parles d'intrusions sur ssh, c'est de par une faille dans le protocole ? ou sur le port 22 en question ?
Merci. -
non,
ce n'est pas une faille...
quand tu mets une machine avec le port 22 ouvert sur internet, tu vas voir les logs de tentatives de connexion, c'est impressionnant.
même so il est facile de scanner des ports ftp sur une adresse, c'est plus long de les tester en ssh, car ce n'est pas parce qu'un port tcp est ouvert qu'un serveur ssh écoute dessus.
Mais changer de port pour en mettre un au dessus de 10000 par exemple et n'autoriser que l'authentification par clé publique, ça en supprime déjà beaucoup.
-
-
J'ai une autre question,
j'ai édité la régle de NAT (ou dénat je sais pas) dans mon routeur pour qu'il utilise un port différent, le nouveau port et fonctionnel, mais le port 22 me parait encore ouvert, ou disons que la régle me paraît encore effectif.. Y a t-il une manip spéciale à faire pour refermer le port 22 ?
cdt -
C'est une V6 en effet, mais la dénomination routeur est bonne ?
