公司禁止非跳板机 ssh，有没有办法绕过去？

[jixiangqd]

公司的跳板机每次都要输入密码，而且跳板机只支持 ssh 这一个命令。

之前通过 iptables 端口转发实现了非 22 端口开 ssh 服务绕过了跳板机，前两天收到老大的邮件说这是违规邮件，说这是违规操作，不让用了。

想在 ssh 之上再加一层加密（避免被安全组扫到这个端口走了 ssh 协议，这样就能不被扫出来了），有没有什么好用的工具？

[40huo]

是这个堡垒机太垃圾

[wweir]

跳板机的 vpn 是配置了基于 totp 的二步登录吧？
这个容易搞，纯本地操作，几乎不会影响安全性。
方法就是：1. 找 otp 库，写个自己的密码生成工具； 2. 找命令行参数，直接把二步登录的用户名密码打进去
我们是用的 openvpn，我是自己整了个工具，套在 openvpn 的命令行工具外边，实现一键登录

[yingfengi]

既然做了行为管理，有些就是禁止的
既然开了审计，就是要记录
要么按规矩来，要么出局

[mritd]

@jixiangqd #32 https://gravitational.com/teleport/ 让你们老大试试这个 吧 OTP 认证 然后直连

[wkc]

https://github.com/vzex/dog-tunnel

[jixiangqd]

@wweir Cisco AnyConnect，所以好像你这个方法不管用啊。。。

[fasling]

参考下这个 http://foocoder.github.io/linux/2015/10/12/%E6%8C%81%E4%B9%85%E5%8C%96ssh%E8%BF%9E%E6%8E%A5/

我之前公司也是 ras token 登录堡垒机，然后再 ssh 跳。用这个好使。mac 可以，windows 不行。

[sqlfeng]

前排围观

[saymagic]

远程调试的话可以在目标机器上写一个 http 服务来转发调试的 tcp 包。

[jixiangqd]

@defunct9 看了你的方案，这边有个教程： http://blog.csdn.net/xuziqu/article/details/50587366
但是想了想 你这种方案好像风险最高啊，安全组那边扫描估计是发了 tcp 请求的，还是可以扫到我这个端口有 ssh 服务

[zhangtianhao]

借助 shell 和 python 脚本可以实现，动态密码可以通过 api 获取。然后在脚本里实现登录，要登录的时候执行你的 shell 就可以。不过这样做并没有绕过跳板机，而是不用你在去输入密码了。

[jixiangqd]

@zhangtianhao 并没有 api 获取动态密码，是硬件 token

[evilangel]

没难度，端口转发端口映射轻轻松松绕过。
你只是闲麻烦的话用 SecureCRT 连接跳板机的时候直接保存登陆账号密码。
如果你所谓的跳板机是只有内网想在外网连你甚至可以在公司丢个树莓派插上网卡从跳板机 SSH 到树莓派端口映射把你内部需要登陆的服务器端口映射到树莓派的公网 IP 上，这样直接连接树莓派都是相当于通过跳板机连接你需要的设备了，符合规范要求。

[defunct9]

@jixiangqd 你以为扫描器是每个端口逐个匹配 N 个协议啊？它扫到 80，用 http 匹配后就不会继续下去了。不是吃饱了撑得非得这么搞，齐治的破跳板机，szrz 大文件的时候过不去，神经病么。所以才这么搞。

[jixiangqd]

@defunct9 好像也有点道理哈~不过不敢试了~ 多谢~

[wweir]

@jixiangqd 可以试试找找第三方客户端

[jixiangqd]

@defunct9 突然发现我们公司也是齐治的破跳板机。。。。
哈哈哈。。。。

[defunct9]

@jixiangqd 握手，第一个月，就研究怎么翻墙，越过这个破玩意了

[tx7778826]

这个问题看情况了，如果 ssh 服务支持 tcp forward 的话，那就毫无压力了，直接 crt 建 ssh 隧道进行动态转发，如果不支持没就呵呵了