Ich möchte einen Raspberry Pi in meinem Wochenendhaus einsetzen. Der Raspberry Pi dient dazu, die Temperaturen zu protokollieren und an einen Remote-Server mit einer festen IP-Adresse zu senden, die Daten zu speichern und auf einer einfachen Website anzuzeigen.

Es kann jedoch vorkommen, dass ich am Raspberry Pi etwas ändern möchte. Zum Beispiel Systemaktualisierungen oder eine Änderung am Programm, das die Daten an den Server sendet, oder was auch immer.

Mit dem vorgeschlagenen Setup könnte ich keine Verbindung zum Raspberry Pi von außerhalb des LANs herstellen.

HINWEIS: Ich möchte das Netzwerk nicht ändern, und der vorhandene Router kann weder Portweiterleitung noch DynDNS oder VPN.

Ich habe vor kurzem über UDP-Lochen gelesen. Die Grundidee ist, dass der Client ein UDP-Paket an eine bekannte Serveradresse sendet (dh mit einer öffentlichen IP oder aktivierten DynDNS). Client B, der eine Verbindung zu Client A herstellen möchte, fragt den Server nach der öffentlichen IP-Adresse und der Portnummer von Client A.

Es kann sich dann direkt über die öffentliche IP und den dynamischen Port mit Client A verbinden. Da Client A zuerst über den jetzt verwendeten Port mit dem Server verbunden ist, leitet NAT die Pakete an Client A weiter.

Ich hoffe, ich habe die Idee mehr oder weniger richtig zusammengefasst ...

Das hört sich alles gut an, aber das Problem ist, dass dies nicht garantiert ist, um mit einer TCP-Verbindung zu arbeiten, da der Router den Handshake der TCP-Verbindung „verstehen“ kann und wenn er nicht richtig aufgebaut ist, wird er nicht weitergeleitet die Pakete.

Wie kann ich also eine SSH-Sitzung von Client B zu Client A eröffnen, ohne dass Client A hinter einem Router mit DynDNS, einer festen öffentlichen IP-Adresse oder der Möglichkeit zur Portweiterleitung sitzt? Die Verwendung eines zentralen Servers mit einer öffentlichen, festen IP-Adresse oder einem Domänennamen wäre schwierig.

pwnat

"..es ist nicht trivial, um eine Verbindung zu einem Peer hinter NAT zu initiieren . "

"Fast alle NAT- Implementierungen lehnen es ab, eingehenden Datenverkehr weiterzuleiten , der keiner kürzlich übereinstimmenden ausgehenden Anforderung entspricht. "

"..Das pwnatTool ist eine eigenständige Implementierung von autonomem NAT-Traversal für GNU / Linux . Nach dem Kontaktieren des Servers hinter dem NAT wird ein Kanal mit TCP-Semantik unter Verwendung von UDP-Paketen eingerichtet. Es unterstützt sowohl Client als auch Server hinter dem NAT (Wenn einer der NATs die Übertragung der gefälschten [benutzerdefinierten] ICMP- Nachrichten zulässt .) Diese Implementierung richtet sich an Endbenutzer. "

  
Verwendung: ./pwnat <-s | -c> <Argumente>

  -c Client-Modus
    <Argumente>: [lokale IP] <lokaler Port> <Proxy-Host> [Proxy-Port (def: 2222)] <Remote-Host> <Remote-Port>

  -s Servermodus
    <args>: [lokale IP] [Proxy-Port (def: 2222)] [[erlaubter Host]: [erlaubter Port] ...]

  -6 IPv6 verwenden  
  -v zeige Debug-Ausgabe (bis zu 2)  
  -h zeige Hilfe und beende  

Beispiele:  

    Serverseitig, sodass jeder Proxy ausführen kann:
      ./pwnat -s

    Client, der eine Verbindung zu google.com herstellen möchte:
      ./pwnat -c 8000 <pwnat.server.com> google.com 80
    Navigieren Sie dann zu http: // localhost: 8000, um Google zu besuchen.  

„Die Schlüsselidee der zur Aktivierung Server an die Client-IP - Adresse lernen ist für die Server zu periodisch eine Nachricht an einen festen, bekannten IP - Adresse. Der einfachste Ansatz verwendet REQUEST ICMP ECHO - Nachrichten an eine nicht zugewiesene IP - Adresse, wie 1.2.3.4 Da 1.2.3.4 nicht zugewiesen ist, wird ICMP REQUEST nicht von Routern ohne Standardroute weitergeleitet. "

„Aufgrund der Nachrichten zu 1.2.3.4 gesendet, die wird NAT Routing von Antworten aktivieren, in Reaktion auf diese Anforderung. Der Verbindungs Client wird dann gefälschte Eine solche Antwort. Insbesondere wird der Client eine ICMP - Nachricht übertragen , die anzeigt TTL_EXPIRED. Ein solches Die Nachricht kann legitimerweise von jedem Internet-Router übertragen werden, und es wird nicht erwartet, dass die Absenderadresse mit der Ziel-IP des Servers übereinstimmt. "

" Der Server lauscht für (fake) ICMP - Antworten und nach dem Empfang initiiert eine Verbindung mit dem Absender - IP in der ICMP - Antwort angegeben. Wenn der Client eine global routbare IP - Adresse verwendet, ist dies völlig unproblematisch und beide TCP oder UDP verwendet werden , eine bidirektionale Verbindung herzustellen, wenn der Client einen vorher festgelegten Port abhört . "

"(In Fällen, in denen kein vorher vereinbarter Port vorhanden ist, kann in den meisten Fällen eine Portnummer als Teil der Nutzlast der ICMP ECHO RESPONSE mitgeteilt werden.)"

Quelle: http://samy.pl/pwnat.pdf
https://github.com/samyk/pwnat

Hier sind einige Lösungen:

Sie können Ihren Raspberry Pi so einrichten, dass er wieder eine Verbindung zu einem OpenVPN-Server herstellt, auf den Sie jederzeit zugreifen können.

Sie können einen Blick auf PageKite werfen. Überprüfen Sie https://pagekite.net/wiki/Howto/SshOverPageKite/

Es ist eine etwas schmutzige, aber einfache Lösung, aber was ist mit Netcat? Auf dem Raspberry Pi können Sie ein Skript erstellen, das den Befehl wiederholt:

nc <public_ip> <port1> | sh | nc <public_ip> <port2>  

Führen Sie auf Ihrem lokalen Host Folgendes aus:

nc -l <port1>

Und:

nc -l <port2>  

Sie können in der ersten Instanz einen Befehl eingeben und in der zweiten die Antwort sehen.