Подскажите, есть ли какой способ спроксировать SSH по хостнейму?

Не совсем понятно, что нужно, но не подойдут ли опции ProxyCommand в ssh_config(5) или ForceCommand в sshd_config(5)?

Я это делаю iptables'ом.

Есть машины virt1, virt2, ..., virt10.

У них внутренние ip-адреса: 10.0.0.1, 10.0.0.2, ..., 10.0.0.10.

Все они слушают 22-ой порт.

А в iptables делаю редиректы

-A PREROUTING -i eth0 -p tcp -m tcp --dport 10001 -j DNAT --to-destination 10.0.0.1:22
-A PREROUTING -i eth0 -p tcp -m tcp --dport 10002 -j DNAT --to-destination 10.0.0.2:22
...
-A PREROUTING -i eth0 -p tcp -m tcp --dport 10010 -j DNAT --to-destination 10.0.0.10:22

eth0 в данном случае - мой внешний интерфейс с реальным ip.

Таким образом, чтобы попасть на 10-ую виртмашину, к примеру, достаточно набрать ssh -l username -p 10010 server.hostname

ssh протокол в этом плане сродни ftp - работают только с ip адресами, в отличие от http? который, кроме ip-адресов, может так же работать с доменными именами.

leave

Я это делаю iptables'ом.

тоже первое, что пришло в голову

или использовать ssh LocalForward

Я это делаю iptables'ом.

у меня тоже сейчас так, но есть дебильный софт, который не позволяет указать порт и при этом игнорирует ~/.ssh/config. Т.е. тупо на 22 лезет и хоть тресни.


IP'шники покупать тоже не вариант =(

ЗЫ: софт виндовый.

Я вот тут почитал сейчас man iptables, там написано, что опции -s и -d понимает как ip-адреса, так и доменные имена. Что если попробовать сделать что-то типа такого?

-A PREROUTING -i eth0 -p tcp -d virt1.server.hostname --dport 22 -j DNAT --to-destination 10.0.0.1:22
-A PREROUTING -i eth0 -p tcp -d virt2.server.hostname --dport 22 -j DNAT --to-destination 10.0.0.2:22

Мне Вот самому интересно, заработает ли или нет. Сам я только позже смогу проверить.

Т.е. интересно, iptables именно на основе имени принимает решение, или он сперва резолвит его в ip, а потом думает?

Хост браузер высылает в заголовке. SSH нет. Либо патчи и сможешь заходить только ты.

Есть подозрение что софт Ваш всегда будет делать резолв и только потом стучать на ip на 22 порт, так что либо ip, либо тунели/VPN в каждый сервер.

Я вот тут почитал сейчас man iptables, там написано, что опции -s и -d понимает как ip-адреса, так и доменные имена. Что если попробовать сделать что-то типа такого?

он, скорее всего, возьмет первый ip данного хоста, который найдет в A записи DNS и подставит его. В протоколе IP никаких хостнеймов не шлется, это уже уровень выше, типа того же HTTP.

он, скорее всего, возьмет первый ip данного хоста

man iptables ! Он создаст кучу правил — по одному для каждой A-записи, причём можно записать:

iptables -A -d mail.ru,ya.ru

и получить 39 правил. Всё будет разрезолвено в момент загрузки правила.

2TC Можно попробовать сделать, чтобы каждый из хостов резолвился в свой ip-адрес (левый), а потом на маршрутизаторе сделать DNAT на нужный ip/порт. Правда, это получается что нужно настраивать внешний маршрутизатор, винда ведь не умеет DNAT.

Я вот тут почитал сейчас man iptables, там написано, что опции -s и -d понимает как ip-адреса, так и доменные имена. Что если попробовать сделать что-то типа такого?

-A PREROUTING -i eth0 -p tcp -d virt1.server.hostname --dport 22 -j DNAT --to-destination 10.0.0.1:22
-A PREROUTING -i eth0 -p tcp -d virt2.server.hostname --dport 22 -j DNAT --to-destination 10.0.0.2:22
Мне Вот самому интересно, заработает ли или нет. Сам я только позже смогу проверить.
Т.е. интересно, iptables именно на основе имени принимает решение, или он сперва резолвит его в ip, а потом думает?

не пашет =( коннектит к той виртуалке, на которую форвардим, не зависимо от хостнейма.

такое через VPN надо делать

хм. а что если nginx попросить проксировать запросы на ссш-порт?

Да нету же в протоколе ssh хост нэйма, даже если бы он там был он бы передавался зашифрованным, а по какому условию тогда разделять? Не по url же..

хм. а что если nginx попросить проксировать запросы на ссш-порт?

nginx же не тупой прокси, он сначала ждет GET / и по нему уже определяет куда. Сомневаюсь что SSH его шлет.

Попробую с айтишниками договориться, может VPN придется поднять действительно.