Làm cách nào để đăng nhập cổng SSH chuyển tiếp?

Nói rằng tôi có một máy chủ SSH, với tính năng chuyển tiếp cổng được kích hoạt. Người dùng khá đơn giản để thiết lập kết nối SSH và chuyển tiếp lưu lượng BitTorrent hoặc lưu lượng truy cập bất hợp pháp hoặc lạm dụng khác qua nó. Làm cách nào tôi có thể thiết lập ghi nhật ký để ghi lại những gì người dùng chuyển tiếp cổng?

Tôi đã sử dụng bản vá trên trang web này (đã thay đổi một chút) http://blog.rootshell.be/2009/03/01/keep-an-eye-on-ssh-forwarding/ để đăng nhập cổng ssh về phía trước.

Tôi đang hỏi một câu hỏi ở đây Làm thế nào một quá trình máy chủ SSH có thể phát hiện các cổng nào đã được chuyển tiếp bởi máy khách (-R không -L) để tìm một cách thanh lịch hơn để làm điều tương tự.

Tuy nhiên, vì nó không giống như có một cách tốt hơn, tôi làm điều đó với lsof:

sudo lsof -aPni@127.0.0.1 -Fn -p99999 | grep "^n" | grep -v '\->' | awk -F: '{print $NF}' | sort | uniq

99999 là bộ sshdxử lý kết nối mà bạn quan tâm.

Có một vài cách để sử dụng đoạn trích này. Hoặc có một quy trình dài để theo dõi các phiên bản mới sshdvà sau đó hướng nội chúng bằng cách sử dụng lệnh trên hoặc bạn tiền tố tất cả .ssh/authorized_keyscác mục với một lệnh tùy chỉnh thực hiện điều này, ghi lại nó ở đâu đó, sau đó execlà lệnh dự định ban đầu ( SSH_ORIGINAL_COMMANDhoặc vỏ đăng nhập trong hầu hết các trường hợp).

bạn có thể thử wireshark . Tôi thực sự không chắc chắn nếu nó sẽ làm cụ thể những gì bạn muốn, nhưng nó chắc chắn có thể xác định những gì người dùng đang làm trên mạng. Spiceworks là một lựa chọn miễn phí khác

netstat, psvà một số cắt và greping thông minh. Netstat có thể cung cấp cho bạn ID chương trình và ps có thể cung cấp cho bạn người dùng.

user@myhome:~$ ssh user@some.server -R 12345:other.server:22

Trong khi đó ở phía bên kia của giao diện điều khiển

root@some.server# netstat -plnt | grep 12345
tcp        0      0 127.0.0.1:12345         0.0.0.0:*               LISTEN     12998/15            
tcp6       0      0 ::1:12345               :::*                    LISTEN     12998/15 
                                                                                 ^ PID!

Tất nhiên bạn sẽ không biết cổng được chỉ định trong grep, grep ở đây để hạn chế đầu ra của tôi

và

ps -aux | grep 12998 # the PID
user   12998  0.0  0.1   6624  1920 ?        S    07:57   0:00 sshd: user@pts/15

et voila! bạn biết rằng người dùng "người dùng" đang chuyển hướng cổng 12345 bằng sshd

kịch bản & cron một cái gì đó bằng cách sử dụng này