connecte sur mon entreprise [...] route les paquets via ssh [...] 172.54.56.88 (intranet) [...] n'autorise le port 22 de 198.66.53.46 (ce que j'ai nommé la passerelle) que pour le proxy et non pour mon adresse privée qui se trouve derrière le proxy.
Bon, je suis désolé, mais tu ne connais pas assez le réseau pour essayer de faire un truc qui peut marcher comme tu as l'air de raconter (ce que je cite c'est toutes les bourdes qui ne veulent rien dire). C'est de plus super tordu, je trouve, par rapport à une solution plus simple comme nono14 indique.
Pour moi, ton problème chez le client c'est juste qu'il bloque le port 22, point. Un proxy http (genre squid) permet d'aller sur le web pour le http, c'est bien, mais en dehors de ça, je suppose que chez ton client tout accès "direct" au net est prohibé. Donc pas de SSH.
Après, tu peux essayer de bidouiller avec le proxy, voire déjà s'il autorise le CONNECT, sur le port 22 ce serait mieux, ou sinon sur le 443 comme indique nono14 ça a plus de chances de passer. Après, si le CONNECT est bloqué (ou le deviendra, puisque c'est un contournement de la politique de sécurité et ça se verra un jour) il te reste le GET/POST classique avec un tunnel qui va bien, du polling et tout le bazarre .... Bref, c'est très crade.
Enfin bref, ta solution, selon moi, c'est soit que ton entreprise trouve une solution adaptée (et moins galère ...) à tes clients, soit de dire à tes clients d'arrêter de faire les prudes avec leur "politique de sécurité" (OK, je m'avance un peu sur leur niveau de connaissance, mais les politiques de sécu sont souvent à deux vitesses ...)
Bon, et quelques conseils si tu gardes ta méthode : ton espèce de port knocking, c'est chiant et galère, pourquoi n'ouvres-tu pas directement le 22 sur 198.66.53.48 ? Ensuite, ton tunnel SSH (-L ...:...:...) c'est un peu gore, moi j'aurais "simplement" fait du port forwarding vers 172.54.56.88 (qui n'est pas une adresse privée selon la "norme", mais bon ...).
Voilà, si en plus tu as fait tout ça parce que l'admin de ta boite est borné est n'a pas de meilleure solution, ça fait un double contournement de sécurité, donc pour ton taf je te souhaite bon courage.
[^] # Re: D'abord mieux formuler la question
Posté par benoar . En réponse au message Connection sur une machine distante. Évalué à 2.
Bon, je suis désolé, mais tu ne connais pas assez le réseau pour essayer de faire un truc qui peut marcher comme tu as l'air de raconter (ce que je cite c'est toutes les bourdes qui ne veulent rien dire). C'est de plus super tordu, je trouve, par rapport à une solution plus simple comme nono14 indique.
Pour moi, ton problème chez le client c'est juste qu'il bloque le port 22, point. Un proxy http (genre squid) permet d'aller sur le web pour le http, c'est bien, mais en dehors de ça, je suppose que chez ton client tout accès "direct" au net est prohibé. Donc pas de SSH.
Après, tu peux essayer de bidouiller avec le proxy, voire déjà s'il autorise le CONNECT, sur le port 22 ce serait mieux, ou sinon sur le 443 comme indique nono14 ça a plus de chances de passer. Après, si le CONNECT est bloqué (ou le deviendra, puisque c'est un contournement de la politique de sécurité et ça se verra un jour) il te reste le GET/POST classique avec un tunnel qui va bien, du polling et tout le bazarre .... Bref, c'est très crade.
Enfin bref, ta solution, selon moi, c'est soit que ton entreprise trouve une solution adaptée (et moins galère ...) à tes clients, soit de dire à tes clients d'arrêter de faire les prudes avec leur "politique de sécurité" (OK, je m'avance un peu sur leur niveau de connaissance, mais les politiques de sécu sont souvent à deux vitesses ...)
Bon, et quelques conseils si tu gardes ta méthode : ton espèce de port knocking, c'est chiant et galère, pourquoi n'ouvres-tu pas directement le 22 sur 198.66.53.48 ? Ensuite, ton tunnel SSH (-L ...:...:...) c'est un peu gore, moi j'aurais "simplement" fait du port forwarding vers 172.54.56.88 (qui n'est pas une adresse privée selon la "norme", mais bon ...).
Voilà, si en plus tu as fait tout ça parce que l'admin de ta boite est borné est n'a pas de meilleure solution, ça fait un double contournement de sécurité, donc pour ton taf je te souhaite bon courage.