Voir la source de Tunnels ethernet avec OpenSSH

Depuis la version 4.3 de Openssh, l'option pour faire des tunnels ip a été ajouté, mais la doc sur internet est plutot rare sur le sujet.

Avant tout, il faut vérifier la version d'openssh sur le serveur et le client.
<code multi>
~ $ rpm -q openssh
openssh-4.3p1-3mdk
~ $ ssh sisay rpm -q openssh
openssh-4.3p1-0.1.20060mdk
</code>

L'exemple ici a été fait à partir de 2 mandriva, mais ça doit marcher sans modification
sur un autre linux ou *bsd.

Tout d'abord, il faut les droits root sur les 2 machines. En effet, il y a quelques opérations à faire, aussi bien au niveau de la configuration que du réseau.

== Sur le serveur ==

La première chose à faire est de dire à openssh d'autoriser les tunnels, en rajoutant cette directive :

<code>PermitTunnel yes</code>

dans /etc/ssh/sshd_config.

Il faut aussi retirer la séparation des priviléges, ou jouer sur les permissions de /dev/tun  .
J'ai pris la facilité pour le moment, j'ai rajouté

<code>UsePrivilegeSeparation no</code>

Une autre solution est de donner les permissions en lecture écriture à un groupe particulier
sur /dev/tun, ce qui est bien plus simple et sûr.

<code>chmod :mongroupe /dev/tun</code>

et bien sur, être dans le groupe en question.

Il faut ensuite charger le module tun :

<code>modprobe tun</code>

et le rajouter dans /etc/modprobe.preload

<code>echo tun >> /etc/modprobe.preload</code>

pour le charger au prochain démarrage.


== Sur le client ==

Il faut simplement les droits sur /dev/tun, donc soit tourner en root, ou avoir la permission
d'écrire sur /dev/tun, comme plus haut, puis faire ( sisay etant le serveur ) :

<code>ssh -w any:any sisay</code>

Vous pouvez jeter une oeil sur les options -f et -N pour ne pas lancer de shell sur la machine distante. Et bien sur, les options habituels marchent encore ( clé, tunnel, master/slave ).

Puis, en root, vous pourrez changer l'ip de la nouvelle interface tun0 sur le serveur

<code>ifconfig tun0 10.0.0.1</code>

et faire pareil sur le client :

<code>ifconfig tun0 10.0.0.2</code>

Et finalement, vous pouvez maintenant tester le ping depuis le client :

<code>ping 10.0.0.1</code>

Le reste, c'est de la configuration normale pour les interfaces. Vous pouvez rajouter des routes, un firewall, n'importe quoi.

Néanmoins, il faut savoir que les connexions tcp par dessus tcp ( comme c'est le cas avec ssh ) sont déconseillées, de par la nature de tcp ( http://docs.mandragor.org/files/Misc/GLFM/lm31/TCP_over_TCP_mauvaise_iD.html ).