[résolu]Server-manager via tunnel SSH

[jibe]

Salut,

Un petit problème assez surprenant pour lequel je poste tout en tentant de trouver une solution ou un contournement...

Je dois faire une petite modif de config chez un client, et pour cela accéder à son server-manager. Mais je n'arrive à obtenir que des erreurs 403 (Forbidden, you don't have access...)

Je crois pourtant avoir tout fait comme il faut, d'ailleurs ce n'est pas bien compliqué :

Code: Tout sélectionner

ssh -L 443:111.222.333.444:443 root@111.222.333.444

111.222.333.444 étant bien sûr l'adresse IP voulue. J'obtiens bien la connexion via le tunnel SSH. Ensuite, depuis Firefox :

Code: Tout sélectionner

https://localhost/server-manager

Et là j'ai l'erreur 403...

J'essaie avec d'autres SME, tantôt ça fonctionne, tantôt j'ai l'erreur 403. Ca semble ne pas dépendre de la version de la SME (6.x ou 7.x)...

J'oublie un truc quelque part, ou quoi ??? Je me sers très rarement de l'accès au server-manager et ne peux pas dire si j'avais réussi à le faire fonctionner là où j'ai maintenant l'erreur 403 Mais je ne comprends pas pourquoi l'erreur n'apparait que sur certaines SME

[VIP-ire]

Je sais qu'il a qq problème depuis le passage en version 7.1.1 je crois, mais ça marche quand même:

Code: Tout sélectionner

ssh -L 5443:127.0.0.1:443 root@xx.xx.xx.xx

(j'utilise un port au dessus de 1024 pour pouvoir le faire sans les droits root)

Ensuite je vais sur https://localhost:5443/server-manager
là je tombe sur la page de login, quand je valide, il me redirige vers une page qui sort une erreur, c'est juste parce que la redirection ne conserve pas le port, elle me redirige sur http://localhost/server-manager, ce qui bien sûre ne marche pas, j'ai juste à retaper l'url https://localhost:5443/server-manager, et là j'y accède (vu que la page de login m'a déjà donné le cookie).

[jibe]

Salut,

Merci pour ta réponse. Ca marche

Mon erreur (?) était de mettre l'adresse IP de la SME distante dans l'option -L au lieu d'y mettre 127.0.0.1... Pourtant, ça marche bien comme ça avec certains serveurs !!! D'ailleurs, je ne vois pas bien la différence ? (mais bon, pas trop réfléchi non plus )

[Gaston]

Bonsoir,
problème de résolution je dirai, mais tu fais aussi des trucs bizarres

Code: Tout sélectionner

ssh -L 443:111.222.333.444:443 root@111.222.333.444

tu écris que tu veux renvoyer toute requête qui arrive sur ton port Local 443 , vers le port 443 de l'@IP mentionnée une fois connecté sur cette @IP.
Ce qui veux donc dire que tu vas arriver sur ton SME sur son interface externe. Il y a beaucoup de chance pour que la config SME interdise ce genre de requête (en effet la requête proxypass redirige tout cela vers le 127.0.0.1 du serveur). Pour les cas où ça marche, je dirai que la config DNS de ta machine ou du serveur ne te fait pas faire un tour par Internet (tu étais déjà dans le LAN et tu n'as pas utilisé la ligne de commande montré ici, mais le nom DNS) ou et alors c'est pas glop, qu'il y a eu une modification de configuration.


G.

[jibe]

Salut,

Est-ce le manque de vacances qui fait que mes deux neurones ont du mal à communiquer, ou ne parle-t-on pas de la même chose ? J'ai un peu de mal à suivre tes explications... Il est vrai que je n'ai pas trop donné d'explications sur les conditions d'essais

Bon, je détaille :

Je suis dans mon bureau, sur un poste Linux derrière ma SME. Je cherche à avoir le server-manager de la SME d'un client dont l'@IP est 111.222.333.444. Je tape la commande donnée plus haut :

Code: Tout sélectionner

ssh -L 443:111.222.333.444:443 root@111.222.333.444

J'ai cette fameuse erreur 403.

J'essaie avec une autre SME, dont je connais le nom de domaine :

Code: Tout sélectionner

ssh -L 443:domaine1.com:443 root@domaine1.com

Marche pas non plus ! Je n'utilise pas souvent le tunnel SSH, mais je suis pourtant sûr d'avoir réussi à le faire fonctionner. Alors, en bon savoyard "tête de bois", j'insiste avec une autre SME :

Code: Tout sélectionner

ssh -L 443:domaine2.com:443 root@domaine2.com

Ca marche !?!?
Ah, oui, mais je ne suis pas sûr des versions de ces SME. Je fais d'autres essais, et trouve deux SME 6.01 dont l'une répond, et pas l'autre (erreur 403 !) !?!? Je ne vois pas ce qui pourrait différer dans leur config pour expliquer la différence : tout ce qui concerne l'accès vers et depuis internet est, pour autant que je me souvienne, identique... Bon, je me trompe probablement, il doit bien y avoir une différence qui explique le comportement différent...

tu écris que tu veux renvoyer toute requête qui arrive sur ton port Local 443 , vers le port 443 de l'@IP mentionnée une fois connecté sur cette @IP.

Heu... C'est probablement une question de formulation (ou alors, je n'ai rien compris aux tunnels SSH, ce qui n'est pas impossible non plus ) : Pour moi, je veux que ce qui est sur mon port local 443 soit redirigé sur le port 443 de la machine distante (111.222.333.444)... Et donc, quand je demande le server-manager de mon localhost, cette demande est redirigée sur la machine distante qui m'envoie son propre server-manager... Ai-je mal compris le fonctionnement ?

Et là où je ne parviens pas à voir la différence entre ma commande et celle de VIP-ire, c'est que pour moi, une fois connecté à la machine distante, le 127.0.0.1 n'est plus mon propre poste, mais celui de la machine distante... soit la même chose que 111.222.333.444 Et pourtant, dans un cas ça marche et dans l'autre pas... Il y a bien un truc qui m'échappe !

Pour les cas où ça marche, je dirai que la config DNS de ta machine ou du serveur ne te fait pas faire un tour par Internet (tu étais déjà dans le LAN et tu n'as pas utilisé la ligne de commande montré ici, mais le nom DNS)

Alors là, désolé, je ne comprends pas ce que tu m'expliques
Effectivement, comme expliqué plus haut, dans les cas où ça a marché, j'ai utilisé le nom de domaine et pas 'l@IP. Mais pourquoi dis-tu que je ne passe pas par Internet et que je suis déjà dans le LAN ? Si le server-manager de la machine distante arrive sur mon écran, il passe par où sinon par internet ? (pas de wifi ni d'un côté ni de l'autre => pas possible de passer direct via les AP ! Et puis, 60km de portée wifi, ça ferait beaucoup !) J 'ai dû louper une marche quelque part

[Gaston]

bonsoir,
j'ai mal à la tête aussi et comme tu le dis cela doit être un problème de formulation.
Quand je vois écrit ceci

Code: Tout sélectionner

-L 9876:111.222.333.444:443

je l'interprète comme :
envoyer toute requête adressée à mon localhost sur le port 9876 au host 111.222.333.444 sur son port 443

ce qui grosso merdo (ne pas pas prendre à la lettre) reviendrait à faire une requête du genre https://111.222.333.444:443/ donc sur l'interface externe à partir du LAN

Or une requête sur le port 443 sur son @IP externe pour un alias "server-manager", je pense qu'il y a peu de chance que SME le laisse passer , non ?

Pour les cas où cela marche, ma supposition est que la config de ton SME (distant) résolve le nom "domaine2.com" avec l'adresse IP interne - ce qui me semble être la configuration normale - tu génères donc des requêtes sur L'@IP interne du serveur, il n'y aurait donc pas de raison que le firewall ne laisse pas les choses se dérouler.

Pour ton domaine1 je ne sait pas échafauder de raisonnement, bobo la tête

Mais bon ceci n'est qu'une tentative de verbialisation de ce que j'imagine, si quelqu'un peut confirmer, ou infirmer, je suis preneur

Dans tous les cas, il me semble plus simple (et plus court, fainéant comme je suit ) d'utiliser la syntaxe mentionnée par VIP-ire :

Code: Tout sélectionner

ssh -L 5443:127.0.0.1:443 root@xx.xx.xx.xx

une aspirine ?
G.

[jibe]

Salut,

une aspirine ?

Je crois que je devrais t'en envoyer un stock, pour tous les casse-tête que je te pose et que tu me résouds !
Merci pour ta réponse que je trouve très claire cette fois

Quand je vois écrit ceci

Code: Tout sélectionner

-L 9876:111.222.333.444:443

je l'interprète comme :
envoyer toute requête adressée à mon localhost sur le port 9876 au host 111.222.333.444 sur son port 443

ce qui grosso merdo (ne pas pas prendre à la lettre) reviendrait à faire une requête du genre https://111.222.333.444:443/ donc sur l'interface externe à partir du LAN

Je pense que c'est bien une question de formulation, mais du coup je n'avais jamais vraiment pris conscience de cet adressage de l'interface externe depuis le côté LAN (qui pourtant est effectivement assez évident...)
D'où bien sûr ma difficulté à comprendre la différence avec le 127.0.0.1...

Pour les cas où cela marche, ma supposition est que la config de ton SME (distant) résolve le nom "domaine2.com" avec l'adresse IP interne - ce qui me semble être la configuration normale - tu génères donc des requêtes sur L'@IP interne du serveur, il n'y aurait donc pas de raison que le firewall ne laisse pas les choses se dérouler.

Tout à fait logique effectivement !

Pour ton domaine1 je ne sait pas échafauder de raisonnement, bobo la tête

Probablement que pour comprendre, il faudrait éplucher de près la config...
Ce qui est assez curieux, c'est qu'une des SME qui répond correctement a une config relativement complexe, avec des domaines virtuels, et que je ne suis pas sûr de l'avoir "attaquée" avec le nom de domaine principal ou un domaine virtuel... Alors que l'autre a une config toute simple, avec un seul domaine... Mais bon, il doit y avoir quelque part une petite nuance dans la config qui fait la différence...

En tous cas, merci pour tes explications qui rendent nettement plus claire l'idée que je me faisais du fonctionnement d'un tunnel SSH