Кодерская мастерская

Взломал сам себя, ну почти

Имеется значит следующий сетап: мини пк с Home assistant, маршрутизатор и провайдер, дающий серый ip за натом.

Также имеется два сервера с разумеется белыми ip, один из которых в москве.

Из мини пк выходят 2 реверс-туннеля, первый идёт на сервер, который в москве, там для него настроен nginx с блэкджеком и сертификатами, выходит туннель в виртуалку, в которой стоит home assistant.
Этот туннель нужен, чтобы yandex мог как можно быстрее передать команду в home assistant, т.е. чтобы цепочка Алиса -> сервер yandex в москве -> home assistant -> целевое устройство, отрабатывала с минимальными задержками.
Второй реверс-туннель уходит на сервер НЕ в москве, он смотрит на порт ssh хост-системы, т.е. позволяет получать удалённый доступ к машине за натом.

Так вот вчера выяснилось, что Алиса перестала управлять устройствами, небольшое расследование привело к реверс-туннелю в Москву, который перестал подниматься.
А перестал подниматься он потому, что, по какой-то причине, изменились ключи sshd на сервере, который, кстати, мне не принадлежит, мне просто там выделен юзер для туннеля, по дружбе так сказать.
Владелец сервера сказал, что херегознает почему там эти ключи сменились, и что просто надо их дропнуть и зааксептить новые.

Ну полез я в файл known_hosts, а там что-то то ли зашифрованное, то ли закодированное, в общем нельзя так с ходу понять, какая строка за какой хост отвечает.
И что же я сделал? Правильно, rm .ssh/known_hosts, т.е. удалил файл со всеми когда либо встреченными хостами.
Потом сходил по ssh на Московский сервер, принял ключ сервера, убедился, что туннель поднялся и забыл об этой истории.
Прошло около 20 часов, в том числе прошло и 5 часов утра, когда провайдер забрал у меня дефицитный ip и выдал мне новый, т.е. все открытые с внешним миром соединения были безвозвратно разорваны.

И после того, как это всё случилось, я попытался с какой-то целью попасть в мини пк, на что получил:

channel 0: open failed: connect failed: Connection refused
stdio forwarding failed
Connection closed by UNKNOWN port 65535

Что за херня?! Наверное надо просто нажать ещё раз... Но результат не изменился.
Пара минут попыток достучаться хоть куда-то наконец привела меня к следующему выводу: после удаления known_hosts я зааксептил ключ московского сервера, но забыл про другой сервер, через туннель к которому и ходил по ssh.
Туннель для ssh благополучно оставался открытым до смены ip, но после неё попытка реконнекта не удалась, т.к. ключа в known_hosts уже не было.

Поразмышляв о способах восстановления доступа сначала решил, что удалённо его вернуть не получится, но после кружки чая вдруг придумал штуку.

Вот есть у нас мини пк, из него торчит туннель, он приходит в nginx, а из него мы можем попасть в home assistant.
Home assistant стоит внутри qemu, и попадая внутрь, мы попадаем, по факту, в виртуалку, не на хост.
Виртуалка тоже сидит за собственным натом, но, в теории, если постучаться в шлюз, то можно достучаться как раз до хоста, если оно фаерволом не закрыто.
В home assistant установлен аддон для доступа к нему по ssh, вот только толку вроде от этого не очень много, ибо проклятый нат, причём двойной, а в каком-то смысле даже тройной (isp -> router -> vm).
Но изучив панельку аддона я выяснил, что у него имеется веб-интерфейс, т.е. можно получить доступ в виртуалку через веб.
На самом деле не в виртуалку, а в докер-контейнер, но это не сильно важно для моего мува.
И так открыл я этот web ui, разумеется нифига не доступно, но с windows ocr что-то понять можно.
Постучался на ssh по адресу шлюза и о чудо, оно живое! Оно мне ответило!
А дальше всё просто и вполне секьюрно (нет). Вставить из буфера обмена туда не получилось, поэтому раздал приватный ключ на весь интернет, скачал его курлом в вм, зашёл по ssh в хост, зашёл по ssh в туннель, зааксептил хост и туннель восстановился.

Во всей этой истории меня слегка волнует только тот факт, что у qemu-машины по-дефолту есть доступ в хост, конечно виртуалка и sandbox - не одно и тоже, но всё же... В общем надо будет прикрыть это дело.

253 views19:53