SSH tunnel mellan två DM800?

[atomized]

Vad jag vet så måste man spec:a vilka portar som skall forwardas genom en ssh-tunnel. Det går att ha mer än en port men jag tror inte att man på ett enkelt sätt kan forwarda samtliga portar som du tycks vilja göra.

Håller med rolrn om att VPN verkar vara en lämpligare lösning i ditt fall. Med VPN så kan du få båda DM800 att ligga på samma nät fast de befinner sig på olika ställen.

Om du ändå vill experimentera med ssh-tunnel så sätts de upp på olika sätt beroende på vilken klient du använder. I putty görs det under Connection -> SSH -> Tunnels. På kommandoraden i Linux görs det med -L och -R parametrarna, se "man ssh".

[Jicarala]

Vad jag vet så måste man spec:a vilka portar som skall forwardas genom en ssh-tunnel. Det går att ha mer än en port men jag tror inte att man på ett enkelt sätt kan forwarda samtliga portar som du tycks vilja göra.

Håller med rolrn om att VPN verkar vara en lämpligare lösning i ditt fall. Med VPN så kan du få båda DM800 att ligga på samma nät fast de befinner sig på olika ställen.

Om du ändå vill experimentera med ssh-tunnel så sätts de upp på olika sätt beroende på vilken klient du använder. I putty görs det under Connection -> SSH -> Tunnels. På kommandoraden i Linux görs det med -L och -R parametrarna, se "man ssh".

OK, det var ju lite värre...
Enda utrustningen jag har att jobba med är två operatörsroutrar och mina DM800.
Kanske blir till att glömma denna lösning då...

[atomized]

Jag har jobbat mycket med ssh-tunnlar och de är perfekta för att komma åt maskiner på andra nät och innanför brandväggar m.m. om det gäller kommando-åtkomst eller webif. I de fallen är ju inte datamängden så stor och det handlar om enstaka väl definierade portar.

Vad du vill göra är lite annorlunda. Du vill streama kopiösa mängder data med ett obskyrt protokoll som ingen vet hur det fungerar eller vilka portar det använder.

Jag utesluter inte att det kan gå att få det att fungera med vpn eller tunneling mellan DM800-boxarna. De är små Linux-maskiner som i teorin kan klara såna saker. I praktiken däremot är det osäkert om det går att få tag i de kernel-moduler som behövs för att sätta upp detta och om de relativt klena CPU:erna i boxarna orkar skyffla så mycket data. Det kan gå men det förutsätter nog att man gräver ner sig mer i såna lösningar än vad jag har gjort och experimenterar en hel del.

Det skulle förmodligen underlätta att skaffa två routrar som kan köra VPN mot varandra och ställa innanför operatörsroutrarna på resp. sida. Och sedan koppla ihop Dreamboxarna via dessa. Dock är denna typen av VPN-lösningar inget jag har någon personlig erfarenhet av så jag kan inte ge några exakta besked om hur det ska gå till.

Slutligen är det värt att tänka över så att man har den bandbredd som erfordras om du inte redan har gjort det.

En annan sak är att när jag googlade på detta så verkar det vara många som har övergett vtuner-lösningen för att istället köra partnerbox-plugin eller RemoteChannelStreamConverter plugin. Det kanske är värt att titta över dessa alternativ också.

[Jicarala]

Jag har jobbat mycket med ssh-tunnlar och de är perfekta för att komma åt maskiner på andra nät och innanför brandväggar m.m. om det gäller kommando-åtkomst eller webif. I de fallen är ju inte datamängden så stor och det handlar om enstaka väl definierade portar.

Vad du vill göra är lite annorlunda. Du vill streama kopiösa mängder data med ett obskyrt protokoll som ingen vet hur det fungerar eller vilka portar det använder.

Jag utesluter inte att det kan gå att få det att fungera med vpn eller tunneling mellan DM800-boxarna. De är små Linux-maskiner som i teorin kan klara såna saker. I praktiken däremot är det osäkert om det går att få tag i de kernel-moduler som behövs för att sätta upp detta och om de relativt klena CPU:erna i boxarna orkar skyffla så mycket data. Det kan gå men det förutsätter nog att man gräver ner sig mer i såna lösningar än vad jag har gjort och experimenterar en hel del.

Det skulle förmodligen underlätta att skaffa två routrar som kan köra VPN mot varandra och ställa innanför operatörsroutrarna på resp. sida. Och sedan koppla ihop Dreamboxarna via dessa. Dock är denna typen av VPN-lösningar inget jag har någon personlig erfarenhet av så jag kan inte ge några exakta besked om hur det ska gå till.

Slutligen är det värt att tänka över så att man har den bandbredd som erfordras om du inte redan har gjort det.

En annan sak är att när jag googlade på detta så verkar det vara många som har övergett vtuner-lösningen för att istället köra partnerbox-plugin eller RemoteChannelStreamConverter plugin. Det kanske är värt att titta över dessa alternativ också.

Stort tack för ett mäktigt svar. När vtuner rullar så fungerar det så sjukt stabilt medans jag fick lite problem med kanalbyten med RemoteChannelStreamConverter emellanåt. Är 10 mbit/s upphastighet på ena sidan och 10 mbit/s nedhastighet på andra och jag fick lite småhack med RemoteChannelStreamConverter men vtuner har inte ens visat tendenser till frysningar (förutom HD-kanaler där vissa verkar fungera medan andra inte är att tala om). Får för mig att vtuner på något underligt vis drar något mindre bandbredd eller åtminstone är uppbyggt på ett sätt som inte gör en liten dipp i den konstanta hastigheten trafikstörande på samma sätt som en strömmad kanal med RCSC. Därför föll valet på vtuner. Partnerbox har jag faktiskt inte ens testat.

Lösningen blir väl troligtvis att stänga av NAT i modemet/routern på serversidan och köra en publik IP-adress rätt in i DM800:an.
Mina följdfrågor postar jag i en ny tråd!

[atomized]

Du får gärna fortsätta rapportera om hur det går. Jag tycker det är mycket intressant om du lyckas få det att fungera bra.
Att det inte är bra ur säkerhetssynpunkt att ge DM800 en publik IP-adress har du säkert koll på.

[Jicarala]

Du får gärna fortsätta rapportera om hur det går. Jag tycker det är mycket intressant om du lyckas få det att fungera bra.
Att det inte är bra ur säkerhetssynpunkt att ge DM800 en publik IP-adress har du säkert koll på.

OK, när jag ändå har dig på tråden! Följdfrågan blir ju hur man minimerar säkerhetsriskerna. Eftersom Enigma2 är avstängt då vtuner-daemonen körs så släcks väl även de flesta servrarna? Vilka servrar är implementerade i boxen? FTP, SSH, Telnet, Web och Samba. Några fler? Körs/är NFS som en servertjänst?

Även om man stänger ner alla servrar så blir väl boxen sårbar för diverse attacker och det antar jag inte går att göra så mycket åt? Hur är det med typ iptables eller någon form av brandvägg, det finns inte implementerat va?

En annan nackdel är att IP-adressen kommer vara dynamisk. Vid t.ex. ett elavbrott är risken att boxen byter IP-adress. Har hittat ett script som bara behöver wget för att uppdatera en DNS-tjänst, skulle detta skriptet fungera direkt i en DM800?

#!/bin/bash

###########################################################################
#
#  Files:
#          freedns.conf        Keeps the last updated IP
#          freedns.log         Register date & time of the actualization
#
###########################################################################

if test -f freedns.conf
  then
  CacheIP=$(cat freedns.conf)
fi

CurreIP=$(wget http://freedns.afraid.org/dynamic/check.php -o /dev/null -O /dev/stdout | grep Detected | cut -d : -f 2 | cut -d '<' -f 1 | tr -d " ")


if [ "$CurreIP" = "$CacheIP" ]
  then
  echo "Update not required."
else
  echo "Updating http://free.afraid.org with IP:" $CurreIP
  wget http://freedns.afraid.org/dynamic/update.php?il37l6oaTLt27zFTL8s2PyET89M8QBeslS9ZQ33957dT -o /dev/null -O /dev/stdout
  echo `date` "- Updating log with IP:" $CurreIP >> freedns.log
fi


rm -f freedns.conf
echo $CurreIP > freedns.conf

[atomized]

Ja, det var många frågor och jag har inte alla svar färdiga. Jag är trots allt inget orakel som en del verkar tro här inne.
Jag kan svara på sånt jag har hållit på med själv, men jag har långt ifrån hållit på med allt som avhandlas i detta forum. Det du gör nu har jag inte alls hållit på med. Det var därför jag gärna ville höra lite mer om hur det går för dig så kan jag lära mig lite av dig!

Jag äger ingen DM800 själv så jag vet inte exakt vilka tjänster som går i den eller vilka program som finns installerade. Det kan säkert skilja lite också beroende på vilken image man kör.

De tjänster du nämner är de jag också skulle tro körs i boxen. I många images finns det ju inställningar för vilka tjänster som ska vara igång och där kan man stänga av t.ex. Samba eller FTP-server. Nu vet jag inte riktigt hur det funkar när du säger att Enigma2 är avstängt? Kommer du åt några inställningar då?

Det du kan göra är väl att stänga av så mycket du kan i inställningarna. Sedan kolla med ps kommandot om du kan se några fler tjänster som är igång och slutligen kan du kolla med en online port-scanner när boxen är uppe och har en skarp IP-adress vilka portar som är öppna. Utifrån resultatet får man sedan jobba vidare och se om man kan stänga ner något ytterligare.

Det är svårt att säga om scriptet funkar rakt av på en DM800, det måste nästan provas. Första frågan är om wget kommandot finns? På min Vu+ Duo2 finns det. Andra frågan är om alla parametrar som används stöds av den aktuella wget-versionen. Här springer man ofta på patrull eftersom kommandona som finns på Dreambox m.fl. tenderar att vara förkrympta versioner. På min Vu+ Duo2 finns t.ex. inte -o optionen som scriptet använder och därför spårar det ur.

root@vuduo2:~# which wget
/usr/bin/wget
root@vuduo2:~# wget http://freedns.afraid.org/dynamic/check.php -o /dev/null -O
/dev/stdout | grep Detected | cut -d : -f 2 | cut -d '<' -f 1 | tr -d " "
wget: invalid option -- 'o'
BusyBox v1.19.4 (2014-11-11 12:57:12 CET) multi-call binary.
Usage: wget [-c|--continue] [-s|--spider] [-q|--quiet] [-O|--output-document FILE]
        [--header 'header: value'] [-Y|--proxy on/off] [-P DIR]
        [--no-check-certificate] [-U|--user-agent AGENT] [-T SEC] URL...
Retrieve files via HTTP or FTP
        -s      Spider mode - only check file existence
        -c      Continue retrieval of aborted transfer
        -q      Quiet
        -P DIR  Save to DIR (default .)
        -T SEC  Network read timeout is SEC seconds
        -O FILE Save to FILE ('-' for stdout)
        -U STR  Use STR for User-Agent header
        -Y      Use proxy ('on' or 'off')

Så jag tror du har en lång resa med 'trial and error' framför dig. Men ge inte upp!
Vi finns här för att supporta dig om vi kan.