AW: "lenny" auf Extensa 5220, Fernwartung
Hallo,
denke ich hab's jetzt mit der ssh-Verbindung.
Aber erst mal:
3. Es muß auch nicht immer VNC sein, für Updates via apt-get reicht eine "einfache" ssh-Sitzung und die Kommandozeile aus, wenn man noch zusätzlich VNC (natürlich über eine verschlüsselte Verbindung getunnelt, das ist so oder so sinnvoll, dann kann niemand mithören) laufen lässt, dann wird das auch bei einer normalen DSL-Verbindung nicht gerade ein Geschwindigkeitswunder sein.
Die zusätzliche Bandbreite, die eine X-Sitzung benötigt, würde ich also so oft wie irgend möglich vermeiden.
Ja, so ähnlich hab ich mir das inzwischen auch gedacht: Möchte die (getunnelte) VNC-Verbindung nur dann benutzen wenn Mama mir auf ihrem Schirm zeigen muß was sie meint oder umgekehrt.
Dazu möchte ich VNC dann auch noch so einrichten, daß ich bei mir gerade noch so das Notwendigste erkennen kann, um die Bandbreite soweit möglich zu verringern. Mama kriegt zwar DSL 2000 aber ich muß immer noch mit der Light-version rumkrebsen.
Aber das habe ich noch nach dem Tunneln an den Schluß gestellt.
Mein momentanes Problem ist, daß ich zwar glaube daß ich es bis jetzt sicher hingekriegt habe, es aber nicht wirklich weiß.
Darum:
Könntet Ihr Euch bitte mal meine sshd_config ansehen und mir sagen ob die so ok ist?
Code:
#Package generated configuration file
# See the sshd(8) manpage for details
# What ports, IPs and protocols we listen for
Port 22
# Use these options to restrict which interfaces/protocols sshd will bind to
#ListenAddress ::
#ListenAddress 0.0.0.0
Protocol 2
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
#Privilege Separation is turned on for security
UsePrivilegeSeparation yes
# Lifetime and size of ephemeral version 1 server key
KeyRegenerationInterval 1800
ServerKeyBits 4096
# Logging
SyslogFacility AUTH
LogLevel ERROR
# Authentication:
LoginGraceTime 60
PermitRootLogin no
StrictModes yes
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile %h/.ssh/authorized_keys
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes
# For this to work you will also need host keys in /etc/ssh_known_hosts
RhostsRSAAuthentication no
# similar for protocol version 2
HostbasedAuthentication no
# Uncomment if you don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication
#IgnoreUserKnownHosts yes
# To enable empty passwords, change to yes (NOT RECOMMENDED)
PermitEmptyPasswords no
# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no
# Change to no to disable tunnelled clear text passwords
PasswordAuthentication no
# Kerberos options
#KerberosAuthentication no
#KerberosGetAFSToken no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
# GSSAPI options
#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes
X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes
#UseLogin no
#MaxStartups 10:30:60
#Banner /etc/issue.net
# [COLOR=Blue]Allow client to pass locale environment variables
AcceptEnv LANG LC_*
Subsystem sftp /usr/lib/openssh/sftp-server
UsePAM yes[/COLOR]
in blau: Unsicher ob ich das brauche
Der Vorteil eines non-Standard Ports für ssh liegt darin, daß die Logfiles nicht mit dem üblichen scriptgestützten "Hintergrundrauschen" standardisierter Loginversuche überquellen.
Kann ich das damit umgehen daß ich den LogLevel auf Error statt auf Info gesetzt habe?
Bringt mir eine große Schlüsselänge, außer dem Sicherheitsgewinn, eventuell zuviel Datenoverhead?
Hier auch noch die Ausgabe eines Portscans an dem top:
Code:
port 22 open ssh [COLOR=Red] ok [/COLOR]
port 111 open sunrpc [COLOR=Red] ? [/COLOR]
port 113 open auth [COLOR=Red] ? [/COLOR]
port 5900 open unbekannt [COLOR=Red]VNC[/COLOR]; [COLOR=Red]ok[/COLOR]
113 wird wohl gebraucht, aber sollte der nicht geschlossen sein?
111 Text bei Internet Security Systems ...should never be exposed to the Internet... Brauch ich den?
VNC starte ich bei Bedarf per ssh.
So, einige Stunden später:
vnc läuft über ssh.
neskaya:/home/cal# ssh -L 5902:localhost:5900 renate@192.168.1.4
anderes Terminal:
neskaya:/home/cal# xvnc4viewer Autoselect=0 LowColourLevel=1 PreferredEncoding=ZRLE localhost:2
lap meldet:
lsof -P -n -i
sshd 7723 root 3r IPv6 29792 TCP 192.168.1.4:22->192.168.1.3:33348 (ESTABLISHED)
sshd 7728 renate 3u IPv6 29792 TCP 192.168.1.4:22->192.168.1.3:33348 (ESTABLISHED)
sshd 7728 renate 11u IPv4 30136 TCP 127.0.0.1:35176->127.0.0.1:5900 (ESTABLISHED)
renatemobil:/home/renate#
Traffic liegt bei ca 150kB/s, müsste ja für Mamas upload reichen.*
Natürlich ändere ich den ssh und vnc login per root noch in einen normalen User, wollte vermeiden daß ich irgendwelche Benutzerrechte-Probleme kriege solange ich am ausprobieren bin.
Jetzt muß ich das ja "nur" noch durch 2 Wlan-Router und eine DSL-Leitung bekommen.
Falls jemand noch einen Fehler entdecken sollte, bitte sagen.
Herzlichen Dank an alle die mir bisher weitergeholfen haben.
*Das reicht natürlich noch lange nicht, sind ja kByte, keine kbit.
Da muß ich wohl noch mal schau'n was ich da noch machen kann. Hab gerade mal nachgeschaut, Mamas Upstream kann ich auf 384kbit/s erhöhen lassen, was meinem Downstream entsprechen würde. Dann müßte ich noch auf etwa ein Viertel der jetzigen Datenrate kommen damits klappt..... Mit meinem Upstream dürfte es wohl keine Probleme geben, ich schicke ja kein Bild mit. Testen....
