Скопировать файлики

[dil]

Ещё одна задачка в продолжение предыдущего поста..

Итак, имеется машинка, на которой начал подыхать диск. ОС пока работает, большинство программ запускается, но единственная файловая система автоматически перемонтировалась в read-only. Машинка на внешнем хостинге, физического доступа к ней нет. Туда пока ещё можно зайти по ssh, но только из корпоративной сети, с фиксированного публичного IP.

Пока диск не подох окончательно, надо срочно скопировать оттуда в корпоративную сеть кучку особо ценных файликов. Но файлики доступны только руту, а по ssh под ним, естественно, не пускают, только через su/sudo.

Подправить конфиг sshd, поменять права на файлики или создать из них читабельный для ssh-юзера архив невозможно по вышеозначенной причине.

scp c той машинки работает, но входящие соединения в корпоративную сеть строго блокируются файрволом, только исходящие можно, да и те не куда попало. Перекидывать файлики через другую внешнюю машинку низзя, нарушение политики безопасности.

Ну и как всё же скопировать оттуда файлики в корпоративную сеть?

Хинт: довольно простое решение существует.

Оригинал этой записи в личном блоге.

Comments

[alexkuklin]

ssh port forward

[ctapnep.livejournal.com]

ssh remote-host "sudo tar -cf - files-to-archive" > saved.tar

[svetasmirnova]

Я не админ, но почему нельзя зайти на удалённую машину, сделать ssh, sudo, потом scp в офис (или вообще куда угодно)?

[ctapnep.livejournal.com]

Потому, что

:: scp c той машинки работает, но входящие соединения в корпоративную сеть строго
:: блокируются файрволом, только исходящие можно, да и те не куда попало. Перекидывать
:: файлики через другую внешнюю машинку низзя, нарушение политики безопасности.

[dil]

А поконкретнее - какой port и куда forward?

[dil]

Идея интересная, но не работает:
sudo: sorry, you must have a tty to run sudo

[ctapnep.livejournal.com]

ой, ну ладно тебе придираться.
ssh -t remote-host....

[ctapnep.livejournal.com]

а вообще нафик не надо требовать tty для sudo.
довольно бессмысленное требование. Если парол надо спрашивать, то надо. А еси нет, то и tty не нужен.

[t-mike.livejournal.com]

ssh tunnel, а поверх него netcat+tar, нет netcat можно bash скриптик сделать

[alexkuklin]

а смотря что на машине есть
можно у себя поднять netcat и прососать к себе через ssh-туннель обратный через netcat с той стороны.

можно вообще через su или sudo запустить и из stdout забрать и у себя сложить. можно построить костылей, чтобы сразу залить туда, куда можно по политике безопасности.

[dil]

А в таком виде запрос пароля от sudo в тот же saved.tar попадает и его портит..

[dil]

В данном случае его как раз спрашивают

[dil]

Не очень понял. Как тут netcat запускать? С обеих сторон что ли?

[dil]

С su и sudo проблема - они пароль спрашивают через терминал: http://dil.dreamwidth.org/1370180.html?thread=9133124#cmt9133124

[ctapnep.livejournal.com]

Вот ведь зануда :)
Ну засунь пароль прямо в команду, и считай ее в sudo через -S (echo pass |sudo -S ...). Несекьюрно, конечно, но это в задаче не требовалось.

P.S. Ну и вариант с ssh -R никуда не делся. там через nc засовывать в туннель, а у себя через тот-же nc ловить... Но как по мне, так оно выглядит более костылем.

[rblaze.livejournal.com]

Зашифруй файл на месте, передай через внешнюю машину, расшифруй в корпоративной сети.

[ctapnep.livejournal.com]

ну да, на локальном хосте nc -l someport > remotebackup.tar
a на удаленном - tar -cf - filelist |nc localhost someport
предварительно подняв туннель с someport на локальный someport (ssh -R someport:localhost:someport user@remotehost).

[ctapnep.livejournal.com]

ну, например, нет внешней машины, куда можно временно сложить 10Тб данных :)

[rblaze.livejournal.com]

Передать потоком через консоль, закодировав в Base64.

[ctapnep.livejournal.com]

если можно передать потоком, то зачем через 3-ю машину?
Собственно, весь вопрос, как я понимаю, именно в организации потока. При том, что один конец этого потока в корпоративной среде, куда снаружи не пробиться. Все коннекты только изнутри.

[rblaze.livejournal.com]

О господи, из корпоративной сети как угодно зайти по SSH на целевую машину, там загнать файл на вход base64encode и вывод консоли в корпоративной сети направить в файл. Отвлекитесь уже от файлов.

Второй вариант - зайти на ту машину через ssh -R 2222:localhost:22 и скопировать обычным scp -P 2222. Я так постоянно делаю, когда мне хочется в офис проникнуть без корпоративного VPN.

[ctapnep.livejournal.com]

a я что? Я тоже это все и расписываю автору
Только без нервов. :)

[dmarck]

всё уже сказанное, плюс если на хосте подскока не запрещён agent forwarding -- то с ним.

Ну, и избежать read-only можно при помощи всяких tmpfs/memoryfs и loopmounts ;P

[dil]

Да как его на месте зашифровать, записывать же некуда

[dil]

Ну там не 10 терабайт, конечно, а всего пара десятков мегабайт..

[dil]

во-от, именно так я и сделал, потому что по scp удобнее файлы копировать, чем через nc :)

[dil]

Тоже вариант, но scp через реверсный туннель попроще будет :)

[rblaze.livejournal.com]

Internet is a series of tubes (c) : pipe it!