Pregunta:
Soy programador y he trabajado para algunos clientes cuyas redes bloquean las conexiones salientes en el puerto 22. Teniendo en cuenta que los programadores a menudo necesitan usar el puerto 22 para ssh, esto parece un procedimiento contraproducente. En el mejor de los casos, obliga a los programadores a facturar a la empresa por Internet 3G. En el peor de los casos, significa que no pueden hacer su trabajo de manera eficaz.
Dadas las dificultades que esto crea, ¿podría un administrador de sistemas experimentado explicar el beneficio deseado de lo que parece una acción en la que todos pierden?
Respuesta:
No veo que nadie haya explicado en detalle el riesgo específico con el reenvío de puertos SSH.
Si está dentro de un firewall y tiene acceso SSH saliente a una máquina en la Internet pública, puede SSH a ese sistema público y en el proceso crear un túnel para que las personas en la Internet pública puedan acceder a un sistema dentro de su red, completamente evitando el cortafuegos.
Si fred es su escritorio y barney es un servidor importante en su empresa y wilma es público, ejecutando (en fred):
ssh -R *: 9000: barney: 22 wilma
e iniciar sesión permitirá que un atacante acceda al puerto 9000 en wilma y hable con el demonio SSH de barney.
Su firewall nunca lo ve como una conexión entrante porque los datos se pasan a través de una conexión que se estableció originalmente en la dirección de salida.
Es molesto, pero una política de seguridad de red completamente legítima.