Une interface s�curis�e en ligne de commande n'est qu'une utilisation parmi tant d'autres, de SSH. En ayant la quantit� n�cessaire de bande passante, les sessions X11 peuvent �tre dirig�es sur un canal SSH. Ou, en utilisant la retransmission TCP/IP, les connexions par port entre les syst�mes, consid�r�es auparavant comme �tant non-s�curis�s, peuvent �tre mapp�es � des canaux SSH sp�cifiques.
20.5.1. Retransmission X11
L'ouverture d'une session X11 par le biais d'une connexion SSH �tablie est aussi facile que l'ex�cution d'un programme X sur un ordinateur local. Lorsqu'un programme X est ex�cut� � partir d'une invite du shell s�curis�e, le client et le serveur SSH cr�ent un nouveau canal s�curis� et les donn�es du programme X sont ensuite envoy�es � l'ordinateur client via ce canal d'une mani�re transparente.
La retransmission X11 peut �tre tr�s utile. Elle peut �tre utilis�e par exemple, pour cr�er une session interactive s�curis�e avec up2date. Pour ce faire, connectez-vous au serveur en utilisant ssh et en tapant�:
Apr�s avoir fourni le mot de passe du super-utilisateur pour le serveur, l'Agent de mise � jour Red Hat appara�t et permet � l'utilisateur distant de mettre � jour en toute s�curit� son syst�me � distance.
20.5.2. Retransmission de port
Gr�ce � SSH, il est possible de s�curiser des protocoles TCP/IP non-s�curis�s via la retransmission de port. En utilisant cette technique, le serveur SSH devient un conduit crypt� vers le client SSH.
La retransmission de port consiste � mapper un port local du client vers un port distant du serveur. SSH permet de mapper un port quelconque du serveur vers un port quelconque du client�; pour que cette technique fonctionne, il n'est pas n�cessaire qu'une correspondance existe entre ces num�ros de port.
Pour cr�er un canal de retransmission de port TCP/IP qui �coute les connexions sur l'h�te local, utilisez la commande suivante�:
ssh -L local-port:remote-hostname:remote-port username@hostname |
 | Remarque |
|---|
| | Pour configurer la retransmission de port de mani�re � ce qu'elle �coute sur les ports inf�rieurs � 1024, il est n�cessaire d'avoir un acc�s de niveau super-utilisateur (ou root). |
Pour v�rifier le courrier �lectronique sur un serveur nomm� mail.example.com en utilisant le protocole POP via une connexion crypt�e, utilisez la commande ci-dessous�:
ssh -L 1100:mail.example.com:110 mail.example.com |
Une fois que le canal de retransmission de port est en place entre l'ordinateur client et le serveur messagerie, indiquez au client de messagerie POP3 d'utiliser le port 1100 sur l'h�te local afin de v�rifier le nouveau courrier. Toutes les requ�tes envoy�es au port 1100 du syst�me client seront transmises de fa�on s�curis�e au serveur mail.example.com.
Si mail.example.com n'ex�cute pas un serveur SSH, mais qu'un autre ordinateur l'ex�cute, SSH peut toujours �tre utilis� pour s�curiser une partie de la connexion. Dans ce cas toutefois, une commande l�g�rement diff�rente est n�cessaire�:
ssh -L 1100:mail.example.com:110 other.example.com |
Dans cet exemple, des requ�tes POP3 en provenance du port 1100 de l'ordinateur client sont retransmises vers le serveur SSH, other.example.com par le biais de la connexion SSH sur le port 22 . Ensuite, other.example.com se connecte au port 110 sur mail.example.com pour v�rifier la r�ception de nouveau courrier. Notez qu'en utilisant cette technique, seule la connexion entre le syst�me client et le serveur SSH other.example.com est s�curis�e.
La retransmission de port peut�galement �tre utilis�e pour obtenir des informations de fa�on s�curis�e � travers un pare-feu. Si le pare-feu est configur� de fa�on � permettre le trafic SSH par son port standard (22) mais bloque l'acc�s aux autres ports, une connexion entre deux ordinateurs h�te utilisant des ports bloqu�s est tout de m�me possible en redirigeant leur communication sur une connexion SSH �tablie.
| Remarque |
|---|
| | L'utilisation de la retransmission de port pour transf�rer des connexions de cette fa�on permet � tout utilisateur du syst�me client de se connecter � ce service. Si le syst�me client est compromis, les pirates auront �galement acc�s aux services retransmis. Les administrateurs syst�me pr�occup�s quant � l'utilisation de la retransmission de port peuvent d�sactiver cette fonction sur le serveur en sp�cifiant le param�tre No pour la ligne AllowTcpForwarding dans /etc/ssh/sshd_config et en red�marrant ensuite le service sshd. |
