LXF162:Raspberry Pi

Версия 00:16, 12 октября 2018

Raspberry Pi. Нач­ни­те зна­ком­ст­во с Linux и но­вым кар­ман­ным ком­пь­ю­те­ром.

Raspberry Pi: SSH-тун­нель

Поль­зуй­тесь пуб­лич­ным Wi-Fi безо­пас­но и одо­лей­те цен­зо­ров: Джо­на­тан Ро­бертс рас­ска­зы­ва­ет об SSH-ту­нел­ли­ро­ва­нии.

Наш эксперт. Су­пер-скрыт­ный Джо­на­тан Ро­бертс ко­па­ет­ся в Linux с дет­ских лет. Ины­ми сло­ва­ми, не так уж дол­го...

Боль­шин­ст­во из нас стал­ки­ва­лись с бло­ки­ров­кой ин­тернет-со­единения, не по­зво­ляю­щей де­лать нам то, что мы хо­тим – обыч­но в ви­де бранд­мау­эра, ог­раничи­ваю­ще­го доступ к сер­ви­сам, та­ким как SMTP или XMPP, или в ви­де фильт­ра­ции со­дер­жи­мо­го сай­тов. Ка­ким бы ни бы­ло ог­раничение, при­ят­но­го здесь ма­ло.

Боль­шин­ст­во из нас так­же поль­зо­ва­лись пуб­лич­ным Wi-Fi, и ес­ли у вас есть здра­вый смысл, то вы на­вер­ня­ка чув­ст­во­ва­ли се­бя не очень ком­форт­но. В ста­тье «Изу­чи­те взлом» из LXF154 бы­ло по­ка­за­но, как лег­ко поль­зо­ва­те­ли из той же са­мой се­ти мо­гут шпионить за ва­ми и да­же вли­ять на ва­ши дей­ст­вия. С пуб­лич­ным Wi-Fi вы не пред­став­ляе­те, кто еще поль­зу­ет­ся ва­шим под­клю­чением и что соз­да­те­ли под­клю­чения де­ла­ют с ва­шим тра­фи­ком!

На этом уро­ке мы по­ка­жем вам, как соз­дать SSH-туннель в Paspberry Pi. Эта тех­но­ло­гия по­мо­жет вам одо­леть цен­зо­ров и шпио­нов! Raspberry Pi пре­крас­но под­хо­дит для это­го. Так как он сто­ит недо­ро­го и ра­бо­та­ет бес­шум­но, его мож­но про­сто дер­жать на пол­ке, по­ка он не по­на­до­бит­ся.

Raspbian

Ес­ли вы сле­ди­те за этой се­ри­ей с са­мо­го на­ча­ла, воз­мож­но, у вас еще остал­ся ис­ход­ный об­раз Debian, ко­то­рым мы поль­зо­ва­лись в пер­вой ста­тье. Од­на­ко Raspberry Pi Foundation не сто­ит на мес­те и недав­но вы­пусти­ла но­вую опе­ра­ци­он­ную сис­те­му на осно­ве ди­ст­ри­бу­ти­ва Raspbian.

Raspbian – но­вая вер­сия Debian, оп­ти­ми­зи­ро­ван­ная для ра­бо­ты с Raspberry Pi. Она не толь­ко ра­бо­та­ет «пря­мо из ко­роб­ки» и за­мет­но бы­ст­рее (неко­то­рые тес­ты по­ка­за­ли при­рост про­из­во­ди­тель­но­сти от 4 до 40 %, в за­ви­си­мо­сти от ро­да дея­тель­но­сти), но и со­дер­жит удоб­ную ути­ли­ту ав­то­ма­ти­зи­ро­ван­ной на­строй­ки, вызываемую при пер­вом за­пуске Raspberry Pi. Она зна­чи­тель­но уп­ро­ща­ет мно­гие за­да­чи, ре­шен­ные на­ми в пре­ды­ду­щих стать­ях, в том чис­ле рас­ши­рение раз­де­ла на весь диск, от­клю­чение overscan, вклю­чение SSH и из­менение рас­клад­ки кла­виа­ту­ры.

Со­ве­ту­ем об­но­вить ва­шу сис­те­му. Са­мый про­стой спо­соб это сде­лать – за­гру­зить по­след­нюю вер­сию об­раза с www.raspberrypi.org/downloads, рас­па­ко­вать ее и за­пи­сать об­раз на SD-кар­ту команд­ной dd так же, как мы де­ла­ли это ранее.

Со­ве­ту­ем очи­стить все со­дер­жи­мое дис­ка, так как мы столк­ну­лись с ка­ки­ми-то стран­ны­ми про­бле­ма­ми, когда это­го не сде­ла­ли – поскольку ста­рые фай­лы на­строй­ки и про­грам­мы со­хранились. Восполь­зуй­тесь следующей ко­ман­дой:

sudo dd if=/dev/zero of=/dev/mmcblk0 bs=1M

Здесь mmcblk0 – уст­рой­ст­во, со­от­вет­ст­вую­щее SD-кар­те. Пе­ред запуском команды заранее соз­дай­те ре­зерв­ную ко­пию, так как команда за­пи­сы­ва­ет ну­ли на весь диск, де­лая все су­ще­ст­вую­щие дан­ные невосста­но­ви­мы­ми.

Пор­ты

Пре­ж­де чем восполь­зо­вать­ся SSH-туннелем, объ­ясним идею, ле­жа­щую в его осно­ве.

При соз­дании со­единения ме­ж­ду дву­мя ком­пь­ю­те­ра­ми – для пе­ре­да­чи web-до­ку­мен­тов, от­кры­тия за­щи­щен­ной обо­лоч­ки или об­ме­на фай­ла­ми по NFS – ком­пь­ю­те­ру, иниции­рую­ще­му со­единение, долж­ны быть из­вест­ны IP-ад­рес ком­пь­ю­те­ра, к ко­то­ро­му нуж­но под­клю­чить­ся, и но­мер пор­та сер­ви­са (web, SSH, NFS и т. д.), к ко­то­ро­му нуж­но об­ра­тить­ся.

Боль­шин­ст­во из вас зна­ют, что та­кое IP-ад­рес. Это чис­ло (на­при­мер, 192.168.133.20), ко­то­рое яв­ля­ет­ся уникаль­ным иден­ти­фи­ка­то­ром ком­пь­ю­те­ра в се­ти, точ­но так же, как поч­то­вый ад­рес иден­ти­фи­ци­ру­ет ваш дом. Но пор­ты зна­ко­мы нам чуть ху­же.

За­да­ем порт

Так же как в од­ном до­ме обыч­но жи­вет несколь­ко че­ло­век, и ка­ж­дый из них ждет свою поч­ту, на ка­ж­дом ком­пь­ю­те­ре есть мно­го раз­ных сер­ви­сов, ожи­даю­щих под­клю­чения непо­сред­ст­вен­но к ним. В ре­аль­ном ми­ре мы ад­ре­су­ем поч­ту кон­крет­но­му чело­ве­ку, по­ло­жив ее в кон­верт с его именем, а в ком­пь­ю­тер­ной се­ти мы ука­зы­ва­ем кон­крет­ный порт, к ко­то­ро­му намереваемся под­клю­чить­ся.

Ка­ж­дый порт за­да­ет­ся но­ме­ром от 0 до 65535, и ка­ж­дый сер­вис, пре­достав­ляе­мый ком­пь­ю­те­ром, слу­ша­ет со­единения на од­ном из этих пор­тов. Есть спи­сок пор­тов по умол­чанию, ко­то­рые слу­ша­ют все по­пу­ляр­ные сер­ви­сы. Этот спи­сок под­дер­жи­ва­ет­ся IANA (Internet Assigned Numbers Authority – Ад­минист­ра­ция ад­рес­но­го про­стран­ст­ва Ин­тернета) и по­кры­ва­ет пор­ты с 0 по 1023 (web-тра­фик про­хо­дит че­рез порт 80, FTP – че­рез порт 20, SSH – че­рез порт 22 и т.д).

Ни­что не ме­ша­ет вам на­стро­ить сер­вис на дру­гой порт, и ес­ли вы знае­те, на ка­ком пор­ту за­пу­щен сер­вис, мож­но ука­зать кли­ен­ту под­клю­чать­ся к это­му пор­ту, а не к пор­ту по умол­чанию.

Хо­ро­шо, но ка­кое от­но­шение это име­ет к SSH-туннелям?

На прак­ти­ке SSH-тунел­ли­ро­вание сво­дит­ся к ис­кусно­му пе­ре­на­прав­лению пор­тов.

Луч­ше все­го объ­яснить это на при­ме­ре. Пред­ставь­те, что у нас два ком­пь­ю­те­ра: но­ут­бук в ка­фе (laptop), где доступ к Ин­тернету ог­раничен про­кси-сер­ве­ром (про­грам­мой, ко­то­рая уме­ет фильт­ро­вать ин­тернет-тра­фик) и нель­зя зай­ти на сайт example.com, и pi – Raspberry Pi с неог­раничен­ным досту­пом в Ин­тернет до­ма. У но­ут­бу­ка есть доступ к pi.

Туннели­ру­ем со­единение

Что­бы от­крыть example.com с но­ут­бу­ка, по­на­до­бит­ся соз­дать туннель, т. е. пе­ре­на­пра­вить на­ше под­клю­чение че­рез pi. SSH-туннель та­кое по­зво­ля­ет.

Обыч­но SSH соз­да­ет за­щи­щен­ное со­единение ме­ж­ду дву­мя ком­пь­ю­те­ра­ми на пор­ту 22. Но при ис­поль­зо­вании SSH-туннеля она пе­ре­на­пра­вит весь тра­фик с ука­зан­но­го пор­та laptop по за­шиф­ро­ван­но­му со­единению на порт 22 pi (или на лю­бой дру­гой ука­зан­ный на­ми ком­пь­ю­тер и порт).

У та­ко­го под­хо­да два пре­иму­ще­ст­ва. Во-пер­вых, как и при обыч­ном SSH-со­единении, тра­фик те­перь на­прав­ля­ет­ся по за­щи­щен­но­му со­единению, то есть никто в локаль­ной се­ти не смо­жет под­смот­реть за на­ми и ук­расть име­на поль­зо­ва­те­лей и па­ро­ли. Досто­ин­ст­во туннели­ро­вания в том, что оно по­зво­ля­ет де­лать это с лю­бым ви­дом web-тра­фи­ка, не толь­ко с обо­лоч­ка­ми. Во-вто­рых, это по­зво­ля­ет обой­ти фильт­ра­цию со­дер­жи­мо­го сай­тов в локаль­ной се­ти. Ес­ли мар­шру­ти­за­тор, за ко­то­рым на­хо­дит­ся локаль­ная сеть, фильт­ру­ет тра­фик на example.com, пе­ре­на­прав­ляя со­единение че­рез неот­фильт­ро­ван­ный порт на неот­фильт­ро­ван­ный ком­пь­ю­тер, в локаль­ной се­ти та­кие ог­раничения мож­но обой­ти. Для это­го нуж­но убе­дить­ся, что SSH уста­нов­лен и за­пу­щен в ви­де сер­ви­са на laptop и pi. На pi для это­го доста­точ­но от­крыть ути­ли­ту raspi-config и вы­брать оп­цию SSH (ес­ли у вас по­след­няя вер­сия Raspbian).

На но­ут­бу­ке на­строй­ка за­ви­сит от ди­ст­ри­бу­ти­ва. Для на­строй­ки SSH в Fedora вы­пол­ни­те ко­ман­ды:

su -c “yum -y install openssh”

su -c “systemctl enable sshd.servive”

su -c “systemctl start sshd.service”

А в Debian или Ubuntu –

sudo apt-get install openssh-server openssh-client

sudo service ssh start

sudo insserv ssh

Ес­ли на но­ут­бу­ке стоит Windows, по­на­до­бит­ся Putty или Cygwin, но обе эти про­грам­мы вы­хо­дят за рам­ки на­шей ста­тьи.

Соз­да­ние тун­не­ля

Сде­лав это, вы­пол­ни­те сле­дую­щую ко­ман­ду для соз­да­ния тун­не­ля:

ssh -L 1080:example.com:80 pi-user@pi -f

Раз­бе­рем ее, что­бы вы по­ня­ли, что про­ис­хо­дит. Па­ра­метр -L со­об­ща­ет SSH, что мы бу­дем ис­поль­зо­вать его для пе­ре­на­прав­ления пор­та.

Сле­дую­щий фраг­мент стро­ки раз­бит на три час­ти двое­то­чия­ми. Пер­вое чис­ло – порт на локаль­ном ком­пь­ю­те­ре (laptop), ко­то­рый мы хо­тим пе­ре­на­пра­вить. Все пор­ты с но­ме­ром боль­ше 1024 мож­но пе­ре­на­прав­лять без прав root. Весь тра­фик, ко­то­рый мы на­пра­вим на этот порт, бу­дет пе­ре­на­прав­лен. Средний фраг­мент – ком­пь­ю­тер, ку­да мы хо­тим пе­ре­бро­сить тра­фик, а по­следнее чис­ло – порт на этом ком­пь­ю­те­ре, к ко­то­ро­му мы хо­тим под­клю­чить­ся. Ком­пь­ю­тер и порт мо­гут быть лю­бы­ми – ес­ли у pi есть к ним доступ, все бу­дет ра­бо­тать. Так как мы хо­те­ли от­крыть сайт example.com, то ука­за­ли порт 80 – по умол­чанию он ис­поль­зу­ет­ся для web-тра­фи­ка. В кон­це ука­зы­ва­ют­ся имя поль­зо­ва­те­ля и ком­пь­ю­тер, че­рез ко­то­рые мы хо­тим про­пустить туннель. Здесь это ком­пь­ю­тер pi и поль­зо­ва­тель pi-user.

Эта часть ра­бо­та­ет как в стан­дарт­ной ко­ман­де ssh, и здесь мож­но поль­зо­вать­ся все­ми обыч­ны­ми прие­ма­ми: на­при­мер, ука­зать дру­гие пор­ты, ис­поль­зо­вать IP-ад­ре­са вме­сто имен ком­пь­ю­те­ров и т. д. (помните, что ком­пь­ю­тер дол­жен быть досту­пен для laptop, т. е. у него долж­но быть до­мен­ное имя или пуб­лич­но доступ­ный IP-ад­рес; со­ве­ты, как до­бить­ся это­го при до­машнем под­клю­чении, при­ве­де­ны во врез­ке «Ди­на­ми­че­­ский DNS»).

Па­ра­метр -f ве­лит ssh пе­рей­ти в фо­но­вый ре­жим и не занимать тер­ми­нал в pi.

Те­перь, что­бы от­крыть сайт example.com на laptop, нуж­но лишь от­крыть в брау­зе­ре ад­рес http://localhost:1080, и все долж­но по­лу­чить­ся. Двое­то­чие в кон­це ад­ре­са оз­на­ча­ет, что нуж­но ис­поль­зо­вать ука­зан­ный порт вме­сто пор­та по умол­чанию 80. “localhost” оз­на­ча­ет, что нуж­но об­ра­тить­ся к пор­ту 1080 на том же ком­пь­ю­те­ре – это «ад­рес ва­ше­го ком­пь­ю­те­ра в Ин­тернете».

Мож­но лег­ко из­менить на­строй­ки, что­бы поль­зо­вать­ся и дру­ги­ми сер­ви­са­ми, а не толь­ко web-тра­фи­ком. На­при­мер, ес­ли на pi есть соб­ст­вен­ный поч­то­вый сер­вер (SMTP), мож­но из­менить example.com на localhost и 80 на 25, и все бу­дет го­то­во. За­тем, вме­сто то­го, что­бы вво­дить спе­ци­аль­ный ад­рес в брау­зе­ре, нуж­но из­менить неко­то­рые на­строй­ки в поч­то­вом кли­ен­те.

Об­рат­ные туннели

SSH уме­ет соз­да­вать и дру­гие туннели. Крат­ко рас­смот­рим их. Ес­ли в пре­ды­ду­щем при­ме­ре у нас бы­ло пе­ре­на­прав­ление локаль­но­го пор­та (-L), сле­дую­щий мож­но на­звать пе­ре­на­прав­лением уда­лен­но­го пор­та.

Пред­ста­вим се­бе несколь­ко иной сце­на­рий. У нас опять же два ком­пь­ю­те­ра – laptop и pi. Но­ут­бук на­хо­дит­ся до­ма, но на нем нуж­но от­крыть внут­ренний сайт internal.example.com ка­кой-то дру­гой се­ти, ко­то­рый бло­ки­ру­ет­ся для внешних под­клю­чений бранд­мау­эром. А pi под­клю­чен ко внут­ренней се­ти.

Что­бы обой­ти этот бранд­мау­эр сна­ру­жи, мож­но соз­дать об­рат­ный туннель с pi на laptop. За­тем с по­мо­щью это­го туннеля но­ут­бук мо­жет проник­нуть внутрь за­щи­щен­ной бранд­мау­эром се­ти че­рез pi и об­ра­тить­ся к internal.example.com.

Для это­го на pi вы­пол­ня­ет­ся ко­ман­да

ssh -R 1080:internal.example.com:80 laptop-user@laptop -f

Па­ра­метр -R оз­на­ча­ет об­рат­ный [reverse] или уда­лен­ный [remote] туннель. В сле­дую­щем фраг­мен­те тек­ста пер­вый па­ра­метр за­да­ет не локаль­ный порт на pi, с ко­то­ро­го нуж­но пе­ре­на­прав­лять под­клю­чения, а порт но­ут­бу­ка для той же це­ли.

Все осталь­ное ра­бо­та­ет как рань­ше. Что­бы из­влечь мак­си­мум из этой улов­ки, туннель нуж­но соз­дать за­ранее, так как у вас не бу­дет досту­па к pi с но­ут­бу­ка, и под­дер­жи­вать SSH-со­единение ак­тив­ным. Для это­го вме­сто обыч­но­го SSH мож­но уста­но­вить и восполь­зо­вать­ся autossh, оберт­кой, под­дер­жи­ваю­щей со­единение ак­тив­ным. Син­так­сис ко­ман­ды autossh несколь­ко иной:

autossh -M 20000 -f 1080:internal.example.com:80 laptopuser@laptop

Здесь об­ра­ти­те внимание на па­ра­метр -M. Ука­зан­ный порт не дол­жен ис­поль­зо­вать­ся дру­ги­ми про­грам­ма­ми, по­это­му вы­бе­ри­те но­мер по­боль­ше. Он ис­поль­зу­ет­ся autossh для от­сле­жи­вания со­единения и его восста­нов­ления, ес­ли оно про­па­да­ет.

Прав­да, этот по­лез­ный при­ем мо­жет по­ссо­рить вас с сис­тем­ны­ми ад­минист­ра­то­ра­ми. Бранд­мау­эры ста­вят все-та­ки не зря, и ад­минист­ра­то­ры не лю­бят, когда дру­гие про­де­лы­ва­ют в них дыр­ки!

Не­ко­то­рые спе­циа­ли­сты в об­лас­ти безо­пас­но­сти ис­поль­зу­ют имен­но эту тех­но­ло­гию для про­вер­ки кор­по­ра­тив­ных се­тей на проч­ность. С по­мо­щью ме­то­дов со­ци­аль­ной ин­женерии они про­но­сят в здания ком­паний ма­лень­кие ко­ро­боч­ки (и Raspberry Pi иде­аль­но под­хо­дит для это­го), на­хо­дят неза­ня­тые се­те­вые разъ­е­мы и под­клю­ча­ют их к ним. Ко­ро­боч­ки на­страи­ва­ют­ся на ав­то­ма­ти­че­­ское соз­дание SSH-туннеля (на­при­мер, с по­мо­щью скрип­та /etc/network/if-up.d), че­рез ко­то­рый мож­но бу­дет проник­нуть в сеть ком­пании, ук­расть па­ро­ли и по­ра­бо­тать с фай­ла­ми!

Ди­на­ми­че­­ские туннели

Вот по­след­няя и, по­жа­луй, са­мая по­лез­ная из тех­но­ло­гий туннели­ро­вания SSH. Мож­но не ука­зы­вать кон­крет­ные пор­ты или сер­ви­сы для об­ме­на ин­фор­ма­ци­ей, а соз­да­вать ди­на­ми­че­­ские туннели, спо­соб­ные со­би­рать и от­прав­лять дан­ные всем сер­ви­сам. Ко­ман­да в этом слу­чае го­раз­до про­ще:

ssh -D 1080 pi-user@pi

Па­ра­метр -D оз­на­ча­ет, что мы хо­тим на­стро­ить ди­на­ми­че­­ский туннель, но­мер – ис­поль­зуе­мый локаль­ный порт, а pi-user@pi – поль­зо­ва­тель и ком­пь­ю­тер, к ко­то­рым бу­дет про­ло­жен туннель.

По вы­полнении этой ко­ман­ды мож­но на­стро­ить лю­бую про­грам­му, под­дер­жи­ваю­щую про­кси SOCKS, на от­прав­ку тра­фи­ка че­рез толь­ко что соз­дан­ный SSH-туннель.

На­при­мер, в Firefox нуж­но зай­ти в Preferences > Advanced > Network [На­строй­ки > До­полнитель­ные > Сеть] и на­жать на кноп­ку Settings [На­строй­ки] в раз­де­ле Connection [Под­клю­чение]. В поя­вив­шем­ся окне вы­бе­ри­те руч­ную [Manual] на­строй­ку про­кси. За­тем вве­ди­те в стро­ку SOCKS host [Узел SOCKS] ад­рес 127.0.0.1 и порт, ука­зан­ный в ко­ман­де ssh.

На­жми­те OK, и все долж­но быть го­то­во. Ес­ли все ра­бо­та­ет пра­виль­но, сай­ты долж­ны от­кры­вать­ся как обыч­но, но те­перь весь тра­фик бу­дет пе­ре­да­вать­ся че­рез туннель SSH на ком­пь­ю­тер pi.

Что­бы убе­дить­ся, что все дей­ст­ви­тель­но ра­бо­та­ет, за­крой­те SSH-со­единение (на­жав Ctrl+c) и по­про­буй­те от­крыть страницу сно­ва. Ес­ли ис­поль­зо­вал­ся туннель, то те­перь в Firefox страницы от­кры­вать­ся не бу­дут.

В дру­гих про­грам­мах, под­клю­чаю­щих­ся к Ин­тернету – на­при­мер, поч­то­вых кли­ен­тах и про­грам­мах для об­ме­на со­об­щения­ми, бу­дут ана­ло­гич­ные ок­на с на­строй­ка­ми. Про­сто за­полните па­ра­мет­ры SOCKS, и все бу­дет ра­бо­тать.

На этом все. Про­де­мон­ст­ри­ро­ван­ные тех­но­ло­гии очень удоб­ны для соз­дания за­щи­щен­но­го и неог­раничен­но­го под­клю­чения во вре­мя по­ез­док, но для их ра­бо­ты сер­вер дол­жен быть по­сто­ян­но вклю­чен. Элек­тро­энер­гия до­ро­жа­ет, но с Raspberry Pi в ка­че­­ст­ве сер­ве­ра рас­хо­ды бу­дут неве­ли­ки.

Ес­ли вам нуж­но сде­лать сер­ви­сы в локаль­ной се­ти доступ­ны­ми уда­лен­ным поль­зо­ва­те­лям, вам мо­гут быть ин­те­рес­ны и VPN – вир­ту­аль­ные ча­ст­ные се­ти (Virtual Private Network). SSH про­ще в на­строй­ке, но он и менее ги­бок. Ес­ли вам ин­те­рес­но это на­прав­ление, по­чи­тай­те ввод­ную ста­тью «При­меним VPN» в LXF158. |