SSH – Acceso remoto en Ubuntu desde internet

ssh

Lo que intentare explicarles aqui es como conectarnos remotamente a una PC/Servidor con SSH desde cualquier lugar en donde tenga acceso a internet (tambien se podra por LAN). Esto sera extenso porque explicare tambien como configurar bien la red para dicho proposito y en los tutoriales de SSH que hay por ahi no explican eso, creo que dan por supuesto que todos saben de redes porque la mayoria usa SSH para administrar servidores.
Tanto mi cliente como mi servidor seran un Ubuntu y las dos PCs estan conectadas a un router. Podria haber sido cualquier otra distro o sistema operativo ya que SSH es multiplataforma.

Bien, comencemos:

SSH son las siglas de «Secure SHell». Lo que te ofrece es una consola en un ordenador remoto con los privilegios que tenga la cuenta con la que conectes. Es decir, si en tu PC tienes varias cuentas, puedes conectar desde otro ordenador al tuyo con cualquiera de esas cuentas y sus respectivos privilegios, como pudiera ser la cuenta root, la de tu administrador sudo o la de un usuario normal. Y todo esto con encriptación de datos, lo que lo diferencia de una conexion Telnet.
En resumen, usaras la consola de la otra PC como si estubieses fisicamente ahi. SSH es el Google (DIOS) de la administracion remota

1- Instalar cliente SSH

Primero que nada debemos saber que el cliente SSH ya viene instalado en ubuntu, pero por las dudas para instalarlo solo debes poner:
sudo aptitude install ssh

2- Instalar servidor SSH

Luego en la maquina que hace de servidor debemos instalar el servidor SSH:
sudo apt-get install ssh openssh-server

Ahora bien, es recomendable modificar las opciones del servidor para mayor seguridad y para eso voy a darles unos tips, pueden hacerlo o no, eso esta en ustedes. El fichero de configuracion es sshd_config:
sudo gedit /etc/ssh/sshd_config

Lo que debemos modificar es en primera medida el puerto, ya que no queremos que cualquiera lo sepa, por ejemplo podemos poner el puerto 4564:
port 4564

Luego el protocolo, el cual debe estar en 2, si no esta asi ponganlo:
Protocol 2

Despues el tiempo de logueo, no queremos darle mucho tiempo a algun intruso de probar posibilidades para ingresar:
LoginGraceTime 30

Otra opcion importante es desabilitar el logueo de root. No es que no podran usar la cuenta root cuando ingresen ya que entrando con cualquier usuario poniendo «sudo su» podrian luego ser root:
PermitRootLogin no

Hay una opcion que define el numero maximo de usuarios conectados simultaneamente a tu maquina. Esto debe adaptarse a tus propias necesidades. Si es un ordenador que funcionara de servidor compartiendo una carpeta a varias maquinas, deberas decidir cuantos son. Cuanto tengas claro el numero indicalo en la opcion siguiente en lugar de la «X». Yo tenia comentada esta linea por lo que le quite el simbolo # y le puse mi numero.
MaxStartups X

A las siguientes opciones no las tenia, por lo que las puse al final del fichero:

Permitir a determinados usuarios ingresar. Aca tenemos dos formas de hacerlo. A Poner el nombre del usuario que queremos que pueda ingresar B Si es que queremos, el nombre de usuario y su IP. La segunda opcion lo que hace es permitir el ingreso de ese usuario pero solamente desde esa maquina. Si quiere hacerlo desde otra maquina no podra ya que no tendra la misma IP.
AllowUsers juanma amigo@201.180.241.21
A saber: juanma y amigo@201.180.241.21 son dos usuarios diferentes. El usuario juenma corresponde a la opcion «A» y amigo@201.180.241.21 ala opcion «B».

Otra opcion interesante es el numero de intentos permitidos que tiene el usuario remoto para hacer login:
MaxAuthTries 2

Ahora guardamos el fichero, lo cerramos y reiniciamos la configuracion del servidor SSH con:
sudo /etc/init.d/ssh restart

3- IP fija en nuestro servidor:

Si tenemos un router y nos asigna IPs mediante DHCP lo logico es que por lo menos el servidor tenga una IP fija en esa LAN de lo contrario, si el router se apaga o reinicia, el DHCP del router puede asignarle otra IP al servidor y eso no nos permitira acceder a el de manera remota.
Como consejo, antes de cambiarle la IP no olviden de mirar como esta configurado el DHCP en su router. Yo tengo un router «linksys» pero pueden mirar esto si tienen otro router para hacerse la idea de lo que quiero decirles. Deben acceder a su router y para ello ponen la IP de su router en algun navegador como Firefox, por ejemplo 191.168.0.1 dependiendo de como lo configuraron (si no saben cual es lean el punto 3 completo), luego ponen el nombre y contraseña e ingresan. En el linksys hay que pasar por la solapa «Configuracion» – «Configuracion basica» y mirar desde que IP asta que IP da nuestro DHCP. En donde dice «Dirección de red Configuración de servidor (DHCP)» va a decir «Dirección IP inicial» la que sera la primera IP que asignara el router por ejemplo 192.168.1.121 y donde dice «Numero maximo de usuarios» puede decir «50». Entonces pongan una IP que no este en ese rango o que sea la ultima de ese rango, por ejemplo 192.168.171 asi no se les superpondran las ips.
Bueno, para poner la IP fija en nuestro server ponemos en consola desde nuestro servidor:
sudo nano /etc/network/interfaces

Ahi pones estos parametros, pero debes cambiarlos por los tuyos:
auto eth0
iface eth0 inet static
address 192.168.1.171     #IP de nuestra pc
netmask 255.255.255.0    #Mascara de subred
gateway 192.168.0.1      #IP del router

Guardamos y reiniciamos o ponemos en consola:
sudo ifup eth0

Si no sabes como obtener tus datos para configurar la placa de red o acceder a tu router hace esto: (tambien les sirve para saber si configuraron bien su placa de red)
a) Para saber cual es tu puerta de enlace (gateway) escribe en consola:
route

Y aparecera algo como esto:

Tabla de rutas IP del núcleo
Destino      Pasarela     Genmask       ... Interfaz
192.168.1.0  *            255.255.255.0 ... eth0
link-local   *            255.255.0.0   ... eth0
default      192.168.0.1 0.0.0.0       ... eth0

La que esta en negrita deberia ser tu gateway y si te fijas un poco te daras cuenta que es la IP de tu router en tu LAN. Con poner esa IP en tu navegador accedes a tu router.

b) Para saber tu ip y mascara pone en consola:
ifconfig

Y fijate donde dice:

eth0   Link encap:Ethernet direcciónHW 00:1f:2a:5d:d9:98
inet dirección:192.168.1.171 Difusión:192.168.1.255
Máscara:255.255.255.0

«Inet direccion» es la IP actual de esa PC, «Difusion» es el broadcast (no lo necesitamos por ahora), el cual es generalemente el mismo para todas las PCs de la lan y «Mascara» pues la mascara de subred.

(Si llegaste aqui y solo quieres conectarte por la LAN ve al paso 5).

4- Router:

Si el servidor esta detras de un router y no lo configuras no vas a poder conectarte al servidor desde internet si no abres (redireccionas) los puertos. Si utilizas un modem o «bridge» (puente) debes instalar ddclient desde los repos y configuralo (hay mucha info de como hacerlo en al web) pero lee este punto porque igualmente te dara una idea de lo que hace.
Bueno, como dije antes, yo tengo un router «linksys» pero casi todos los routers se manejan similar, lo que deben saber es que hacer con el router y si no se dan cuenta como es la cosa consulten su manual. Voy a explicarles que deben hacer.

a) Crear un dominio:
Seguramente la IP de su servicio de internet es dinamica, eso quiere decir que cambia. Entonces lo que deben hacer es que esa IP sea estatica y de esa manera podran acceder a su servidor por mas que la IP de este cambie. Para eso registren un dominio en dyndns . Ahi se registran, llenan con sus datos y les llega un mail de confirmacion. Entran otra vez en dyndns, se loguean y van a «My Account» y luego click en «Add Host Services».
Ahi eligen un nombre de dominio como por ejemplo dominio.dyndns.org (si usan un linksys que sea «.dyndns.org»). Luego ponen la IP con la que sale el servidor a internet, si es que estan en el servidor solo deben hacerle click a «Use auto detected IP address XXX.XXX.XXX.XXX» que se las autodetecta y para terminar le dan click en «Create Host».

b ) Configurar dominio en router:
Deben acceder a su router y para ello ponen la IP de su router ne algun navegador de internet, por ejemplo 191.168.0.1 dependiendo de como lo configuraron, luego ponen el nombre y contraseña e ingresan.

Aca vamos a la solapa «Configuracion» – «DDNS» (Dinamic DNS) y ponemos en «Servicio DDNS » al que nos presta el servicio, en este caso DynDns.org. Luego el nombre y el pass de nuestra cuenta dyndns. En «Nombre del host» ponemos el dominio que registramos, por ejemplo dominio.dyndns.org y le damos a guardar configuracion.
Desde este momento nuestro router se conectara con dyndns y sincronizara su ip con el dominio. Esto es la ventaja de haber comprado un linksys jajaja.
Si no tienes un linksys y no tienes la opcion para DNS dinamico lo que debes hacer es instalar y configurar ddclient en el servidor desde los repos y configurarlo. Este programita envia la info de la IP al dominio para asi sincronizarla. Seguro que por la web encuentras como hacerlo. Como dato DynDns proporciona la posibilidad de descargarlo y un fichero de configuracion para tu linux.

c) Abrir los puertos del router: (redireccionarlos)
Dentro del router, vamos a la solapa «Aplicaciones & juegos» – «Reenvio a intervalo de puertos» y llenamos los datos.
En «Aplicación» le ponemos por ejemplo ssh. En «Inicio» y «Fin» ponemos el puerto de inicio y de final que permitiran el acceso de nuestra aplicacion por ejemplo 4564 en inicio y 4564 en final, de esa manera solo abrira 1 puerto para nuestra aplicacion. En «Protocolo» yo le deje «ambos».
En «Dirección IP» debemos poner la IP de nuestro servidor (la IP de la maquina servidor en nuestra LAN) Por ejemplo 192.168.1.171 . Para explicarlo de alguna manera, lo que hacemos aca es decirle al router que cuando le llegue una peticion a ese puerto lo redireccione a esa IP, la que en este caso corresponde a nuestro servidor.
Y por ultimo en la opcion de nuestro router selecionamos la casilla «Activar» y le damos click a «Guardar configuracion».

Ya que estamos aca (esto es totalmente opcional), podemos poner la opcion de poder ingresar a nuestro router desde cualquier lugar del mundo si se la activamos en la solapa «Administracion» a «Administracion remota» y le damos un puerto a nuestro gusto como «9999».
Para ver si funciona pongan en su navegador el dominio que registraron en dyndns seguido del puerto que le pusieron para la administracion remota, por ejemplo: «dominio.dyndns.org:9999». Si lo hicieron bien les pedira el usuario y la pass de su router y asi podrian administrar la configuracion de su router remotamente.
Esto esta bueno para poder abrir y cerrar puertos en el caso de que lo necesitemos cuando no estamos delante de nuestro router que maneja nuestro servidor.

5- Conectarnos:
Desde la maquina con la que accederemos tenemos dos formas simples de entrar a nuestro servidor.

a) Modo consola

La forma comun de conectarse es «ssh -p puerto tu_cuenta@ip_del_ordenador_remoto», a modo de ejemplo: (si le pones la IP LAN del servidor no se conceta a traves de internet y si por la LAN)
ssh -p 4564 juanma@192.168.1.171

y si tienes un dominio en el sevidor podria ser (este se concetara por internet siempre):
ssh -p 4564 juanma@dominio.dyndns.org

Para desconectarnos ponemos en al consola:

exit

Posible problema de conexion:
Si al querer conectarnos nos aparece un mensaje como esto:

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that the RSA host key has just been changed.
The fingerprint for the RSA key sent by the remote host is
c6:70:0f:ff:2d:a7:40:b8:82:e5:ed:35:b4:d6:77:ca.
Please contact your system administrator.
Add correct host key in /home/user/.ssh/known_hosts to get rid of this message.
Offending key in /home/user/.ssh/known_hosts:8
RSA host key for server has changed and you have requested strict checking.
Host key verification failed.

Signfica que la llave se modifico. Esto puede sea a causa de una intrucion o, como en le mayoria de los casos, porque se actualizo algun paquete del ssh.
Si miramos la linea que puse en negrita, veran que nos da la ruta de un archivo seguida de un numero. Lo que hay que hacer es editar ese fichero y eliminar la linea completa (en mi caso la linea numero 8).

Para solucionar esto hacemos lo siguiente:

1 – Abrimos una consola en la pc cliente y ponemos:
sudo nano /home/TUUSUARIO/.ssh/known_hosts

2 – Eliminamos de forma completa la linea que nos indica (en mi caso la numero 8 )

3 Volvemos a intentar conectarnos.

b) Acceder en modo grafico (sFTP)

Si lo que que queremos es conectarnos a un ordenador por ssh en modo grafico tambien lo podremos hacer. Digamos que lo de «modo grafico» es entre comillas…. accedes a travez de tu navegador de carpetas (tambien se puede acceder en modo grafico como en VNC usando SSH + NX).
Eso puedes hacerlo mediante sFTP (Secure file transfer program) si… es un ftp pero mucho pas simple si lo usan de esta manera. Este metodo de conexion es mas simple pero tambien tienes menos posibilidades. Para hacer ciertas cosas tardas mas incluso que haciendolo por consola, pero para las operaciones faciles como administrar, editar un fichero tambien es posible hacerlo de esta manera. Tienes dos formas de acceder mediante sftp:

a) Entraremos en «Lugares» – «Conectarse al servidor…». En «Tipo de servicio», elegiremos en lugar de FTP publico a SSH, luego la IP o el nombre de dominio y por ultimo el usuario y despues de teclear la contraseña y aceptar estaremos ya dentro del mismo.

b) Podemos acceder mediante nuestro navegador de archivos (Nautilus). Por ejemplo vas a «Lugares» – «Carpeta personal» y donde dice «Lugar:» pones sftp://TUDOMINIO:TUPUERTO y pones tu nombre y contraseña, como por ejemplo:
sftp://dominio.dyndns.org:4564

Bueno, creo que esta bien por ahora. Creo que no solo es un tuto de SSH, tambien es de redes jajaja.

Suerte y espero que les sea util.