SSH Tunnel unter GNU/Linux

Diese Anleitung ist für Fortgeschrittene! Sie benötigen neben OpenSSH keine zusätzliche Software, aber Erfahrung im Umgang mit der Konsole.

Eine Alternative zum Cisco VPN Client bietet der SSH Tunnel über unseren SSH Eingangsserver, der Zugang zu Rechnern und Daten im RZ von außerhalb des TU-Netzwerkes ermöglicht. Verschlüsselt wird dabei die Verbindung vom eigenen Gerät zum SSH Eingangsserver und nicht der gesamte Internetverkehr. Der OpenSSH Client muss meistens nicht installiert werden, da er auf fast jedem Linux/Unix System vorhanden ist. Neben einem SSH Tunnel ist auch ein SocksV5 Proxy (SSH Option -D port) zum SSH-Eingangsserver möglich, man erhält dabei aber nur Zugriff auf das TUHH Intranet.

SSH Tunnel in die TUHH aufbauen

  1. Öffnen Sie eine Shell (Kommandozeile), z.B. xterm oder konsole. Geben Sie folgenden Befehl ein und ersetzen username mit Ihrem TUHH-Account; Sie benötigen keine Administratorrechte. Kann der TUHH SSH-Eingangsserver erreicht werden, werden Sie nach Ihrem Kerberos-Passwort gefragt. Sollte eine Warnung der Form The authenticity of host 'ssh.rz.tu-harburg.de (134.28.202.245)' can't be established. erscheinen, so sollten Sie sich über einen sicheren Weg den public key des SSH-Eingangsservers besorgen und in die Datei ~/.ssh/known_hosts eintragen.

    tux@tuhh> ssh -L 8080:proxy.rz.tu-harburg.de:81 username@ssh.rz.tu-harburg.de
    username@ssh.rz.tu-harburg.de's password: Kerberos-Passwort
    Last login: Zeitstempel from Rechnername
    Have a lot of fun...
    username@ssh:~>
    
    Deutlich kompakter wird der Aufruf mit folgendem Eintrag in der ~/.ssh/config:

    host tuhhProxy
       hostname ssh.rz.tu-harburg.de
       user username
       LocalForward 8080 proxy.rz.tu-harburg.de:81
    
    Der Aufruf verkürzt sich mit der Konfiguration auf tux@tuhh> ssh tuhhProxy.


    Falls Sie sich in einem Netz befinden, das die Domainnamen nicht per DNS auflösen kann, verwenden Sie die IP Adressen von Proxy und SSH-Eingangsserver:

    tux@tuhh> ssh -L 8080:134.28.202.150:81 username@134.28.202.245
    

    Nach erfolgreichem Login auf den SSH-Eingangsserver sind Sie nicht nur dort eingeloggt, sondern haben auch Port 8080 auf Ihrem lokalen Rechner über den SSH-Eingangsserver zum Port 81 auf dem TUHH Proxy getunnelt. Lassen Sie die Shell geöffnet, damit der Tunnel weiterhin besteht. Anfragen an localhost:8080 landen dann sicher beim TUHH Proxy, proxy.rz.tu-harburg.de:81.
  2. Sie müssen nun den neuen, verschlüsselten Tunnel zum Proxy in den Proxy-Einstellungen der jeweiligen Anwendung konfigurieren. Auf folgender Abbildung sehen Sie die Proxy-Konfiguration unter Mozilla Firefox 2.0 zu finden unter Bearbeiten→ Einstellungen→ Erweitert→ Netzwerk→ Verbindungs-Einstellungen... Screenshot Firefox 2.0:
    Firefox 2.0 Proxy Einstellung

    Für Programme auf der Kommandozeile erreicht man dies auf dem eigenen Rechner mit:

    tux@tuhh> export http_proxy=http://localhost:8080
    tux@tuhh> export https_proxy=http://localhost:8080
    tux@tuhh> export ftp_proxy=http://localhost:8080
    tux@tuhh> export HTTP_PROXY=$http_proxy
    tux@tuhh> export HTTPS_PROXY=$https_proxy
    tux@tuhh> export FTP_PROXY=$ftp_proxy
    

SSH Tunnel in die TUHH trennen

  1. Um die SSH Verbindung zum SSH-Eingangsserver zu beenden, müssen Sie sich nur ausloggen:

    username@ssh:~> exit
    Connection to ssh.rz.tu-harburg.de closed.
    

SSH mit TUHH-SSH-Server als Sprungbrett nutzen

Sie können einen nicht öffentlich zugänglichen Zielserver auch über den SSH-Server des Rechenzentrums als Sprungbrettserver nutzen. Entweder direkt im SSH-Aufruf:
tux@tuhh> ssh -J username@ssh.rz.tu-harburg.de local-username@target-machine.institute.tuhh.de
username@ssh.rz.tu-harburg.de's password: Kerberos-Passwort
...
Deutlich kompakter wird der Aufruf mit folgendem Eintrag in der ~/.ssh/config:

host target-machine
   user local-username
   hostname target-machine.institute.tuhh.de
   ProxyJump username@ssh.rz.tu-harburg.de
Der Aufruf verkürzt sich mit der Konfiguration auf tux@tuhh> ssh target-machine.

Fragen/Support

Bitte stellen Sie sicher, dass sich Ihr Gerät auf dem neuesten Stand befindet, Sie nicht mehr als ein Antiviren Programm verwenden und keine "Unblocker" installiert sind.
(Unblocker sind Programme, die Inhalte freischalten, die in einem Land gesperrt sind, aber in anderen nicht.)

Bei Fragen oder Problemen schauen Sie bitte zuerst auf unsere Hilfeseiten. (Hier klicken für VPN Hilfe)
Für Fragen, Anregungen, Erfahrungsberichte oder mit weitergehenden Problemen wenden Sie sich bitte an unser User Service Center (Helpdesk). Wir antworten zeitnah auf E-Mails an servicedesk@tuhh.de.

Ab April findet die WLAN-Beratung statt bei Jelisa Bonsen, Phillip Vogel und Niklas Krüger in E2.045. Die Termine finden Sie hier, sowie auch in den Fluren im E-Gebäude.

  • montags 13:30 - 15:30
  • dienstag 10:00 - 12:00
  • mittwochs 14:15 - 16:15
  • donnerstags 10:45 - 12:45
  • freitags 11:00 - 13:00