Tunnels ethernet avec OpenSSH
Depuis la version 4.3 de Openssh, l'option pour faire des tunnels ip a été ajoutée, mais la documentation sur internet est plutôt rare sur le sujet.
Avant tout, il faut vérifier la version d'openssh sur le serveur et le client.
~ $ rpm -q openssh openssh-4.3p1-3mdk ~ $ ssh sisay rpm -q openssh openssh-4.3p1-0.1.20060mdk
L'exemple ici a été fait à partir de 2 mandriva et 1 FreeBSD 6, mais ça doit marcher sans modification sur un autre linux ou *bsd.
OpenSSH n'a pas encore importé dans le système de base de FreeBSD, néanmoins la version 4.3p2 est disponible via le système des ports. Pour l'installer:
Attention, si vous n'utilisez pas l'option pour remplacer la version OpenSSH de base, il vous faudra préfixer toutes les commandes ssh par le prefix /usr/local.
Tout d'abord, il faut les droits root sur les 2 machines. En effet, il y a quelques opérations à faire, aussi bien au niveau de la configuration que du réseau.
Sur le serveur
La première chose à faire est de dire à openssh d'autoriser les tunnels, en rajoutant cette directive :
dans /etc/ssh/sshd_config.
Il faut aussi retirer la séparation des priviléges, ou jouer sur les permissions de /dev/tun . J'ai pris la facilité pour le moment, j'ai rajouté
Une autre solution est de donner les permissions en lecture écriture à un groupe particulier sur /dev/tun, ce qui est bien plus simple et sûr.
et bien sur, être dans le groupe en question.
Il faut ensuite charger le module tun :
et le rajouter dans /etc/modprobe.preload
pour le charger au prochain démarrage.
Sur le client
Il faut simplement les droits sur /dev/tun, donc soit tourner en root, ou avoir la permission d'écrire sur /dev/tun, comme plus haut, puis faire ( sisay etant le serveur ) :
Vous pouvez jeter une oeil sur les options -f et -N pour ne pas lancer de shell sur la machine distante. Et bien sur, les options habituelles marchent encore ( clé, tunnel, master/slave ).
Puis, en root, vous pourrez changer l'ip de la nouvelle interface tun0 sur le serveur
sous FreeBSD:
et faire pareil sur le client :
sous FreeBSD:
Et finalement, vous pouvez maintenant tester le ping depuis le client :
Le reste, c'est de la configuration normale pour les interfaces. Vous pouvez rajouter des routes, un firewall, n'importe quoi.
Néanmoins, il faut savoir que les connexions tcp par dessus tcp ( comme c'est le cas avec ssh ) sont déconseillées, de par la nature de tcp ( http://chl.be/glmf/articles.linuxmag-france.org/lm31/tcptcp.html ).
Configuration du firewall
Si vous disposez d'un firewall activé sur une ou sur les deux machines, il vous faut autoriser les connexions dans les deux sens. Pour cela, si vos utilisez shorewall, il vous suffit de rajouter cette ligne dans le fichier "interfaces" (/etc/shorewall/interfaces) :