SSH tunnel mellan två DM800?

Hej,

Problem: Har inte möjlighet att sätta upp parabol där jag befinner mig men hade velat ha en parabolsignal från mors balkong. Där sitter en DM800 som tar emot signalen och skickar den vidare till en DM800 hemma hos mig med hjälp av vtuner. Det sitter en router i båda ändar innan boxarna. Problemet är att vtuner inte använder sig utav en speciell port, så alla portar behöver vara öppnade mot vtuner-server-boxen på "parabolsidan". Det i sin tur medför flera problem (säkerhet/alla portar upptagna, osv).

Möjlig lösning? Jag vet inte hur en SSH-tunnel fungerar, men går att endast öppna t.ex. port 22 på serversidan och få anslutningen att fungera typ som en VPN-tunnel med alla portar öppnade? Och efter det att tunneln är öppnad, ev. använda serverboxens interna IP-adress för att ansluta mig?

En nybörjarvänlig guide för hur jag löser detta på något klokt sätt vore mycket uppskattat! :D

http://i.imgur.com/cQJZUyJ.jpg

Du skulle behöva sätta upp en VPN-länk mellan boxarna, t.ex. med OpenVPN.

blir det inte för mycket "overhead" med kryptering ????

Det kan hacka för mig när jag tittar på film över min tunnel och stream är inte att tänka på, transcode går OK.
Men jag brukar logga in och byta namn på filmen och använda samma lösning som när jag tittar på tablåTV: ->
"#SERVICE 4097" och då är väl bara en port öppen ???

(och då snurrar min openVPN server på värre CPU än en STB (800:an är klen))

Kanske ännu bättre att köra VPN site2site i routern då, men då behöver du en vettig router i båda ändarna.

Citat:

---

Ursprungligen postat av nyburgare

blir det inte för mycket "overhead" med kryptering ????

Det kan hacka för mig när jag tittar på film över min tunnel och stream är inte att tänka på, transcode går OK.
Men jag brukar logga in och byta namn på filmen och använda samma lösning som när jag tittar på tablåTV: ->
"#SERVICE 4097" och då är väl bara en port öppen ???

(och då snurrar min openVPN server på värre CPU än en STB (800:an är klen))

---

Jag får för mig att SSH-tunnel är mindre krävande än OpenVPN, men återigen är jag helt novis på området.

Men om det fungerar smärtfritt eller inte märker vi så fort jag har testat. Så igen; hur gör man? Jag sätter upp en port-forward mot port 22 på boxen vid parabolen. Sen ska det väl bara vara att logga in via SSH i klientboxen och skriva någon rad för att få upp tunneln? Och hur fungerar det med port-forwards genom tunneln? Har som sagt ingen koll, någon får gärna guida mig här... :)

Citat:

---

Ursprungligen postat av rolrn

Kanske ännu bättre att köra VPN site2site i routern då, men då behöver du en vettig router i båda ändarna.

---

Finns inte VPN-stöd för varken server- eller klientdel i någon av routrarna så det är bara att glömma. Att köra igång OpenVPN är väl också att glömma med tanke på prestandan och det lilla utrymmet på flashminnet i en DM800.

jag har för mig att det finns ngt ssh/putty/stream bland guiderna här på forumet..... ??

Vad jag vet så måste man spec:a vilka portar som skall forwardas genom en ssh-tunnel. Det går att ha mer än en port men jag tror inte att man på ett enkelt sätt kan forwarda samtliga portar som du tycks vilja göra.

Håller med rolrn om att VPN verkar vara en lämpligare lösning i ditt fall. Med VPN så kan du få båda DM800 att ligga på samma nät fast de befinner sig på olika ställen.

Om du ändå vill experimentera med ssh-tunnel så sätts de upp på olika sätt beroende på vilken klient du använder. I putty görs det under Connection -> SSH -> Tunnels. På kommandoraden i Linux görs det med -L och -R parametrarna, se "man ssh".

Citat:

---

Ursprungligen postat av atomized

Vad jag vet så måste man spec:a vilka portar som skall forwardas genom en ssh-tunnel. Det går att ha mer än en port men jag tror inte att man på ett enkelt sätt kan forwarda samtliga portar som du tycks vilja göra.

Håller med rolrn om att VPN verkar vara en lämpligare lösning i ditt fall. Med VPN så kan du få båda DM800 att ligga på samma nät fast de befinner sig på olika ställen.

Om du ändå vill experimentera med ssh-tunnel så sätts de upp på olika sätt beroende på vilken klient du använder. I putty görs det under Connection -> SSH -> Tunnels. På kommandoraden i Linux görs det med -L och -R parametrarna, se "man ssh".

---

OK, det var ju lite värre...
Enda utrustningen jag har att jobba med är två operatörsroutrar och mina DM800.
Kanske blir till att glömma denna lösning då...

Jag har jobbat mycket med ssh-tunnlar och de är perfekta för att komma åt maskiner på andra nät och innanför brandväggar m.m. om det gäller kommando-åtkomst eller webif. I de fallen är ju inte datamängden så stor och det handlar om enstaka väl definierade portar.

Vad du vill göra är lite annorlunda. Du vill streama kopiösa mängder data med ett obskyrt protokoll som ingen vet hur det fungerar eller vilka portar det använder.

Jag utesluter inte att det kan gå att få det att fungera med vpn eller tunneling mellan DM800-boxarna. De är små Linux-maskiner som i teorin kan klara såna saker. I praktiken däremot är det osäkert om det går att få tag i de kernel-moduler som behövs för att sätta upp detta och om de relativt klena CPU:erna i boxarna orkar skyffla så mycket data. Det kan gå men det förutsätter nog att man gräver ner sig mer i såna lösningar än vad jag har gjort och experimenterar en hel del.

Det skulle förmodligen underlätta att skaffa två routrar som kan köra VPN mot varandra och ställa innanför operatörsroutrarna på resp. sida. Och sedan koppla ihop Dreamboxarna via dessa. Dock är denna typen av VPN-lösningar inget jag har någon personlig erfarenhet av så jag kan inte ge några exakta besked om hur det ska gå till.

Slutligen är det värt att tänka över så att man har den bandbredd som erfordras om du inte redan har gjort det.

En annan sak är att när jag googlade på detta så verkar det vara många som har övergett vtuner-lösningen för att istället köra partnerbox-plugin eller RemoteChannelStreamConverter plugin. Det kanske är värt att titta över dessa alternativ också.

Citat:

---

Ursprungligen postat av atomized

Jag har jobbat mycket med ssh-tunnlar och de är perfekta för att komma åt maskiner på andra nät och innanför brandväggar m.m. om det gäller kommando-åtkomst eller webif. I de fallen är ju inte datamängden så stor och det handlar om enstaka väl definierade portar.

Vad du vill göra är lite annorlunda. Du vill streama kopiösa mängder data med ett obskyrt protokoll som ingen vet hur det fungerar eller vilka portar det använder.

Jag utesluter inte att det kan gå att få det att fungera med vpn eller tunneling mellan DM800-boxarna. De är små Linux-maskiner som i teorin kan klara såna saker. I praktiken däremot är det osäkert om det går att få tag i de kernel-moduler som behövs för att sätta upp detta och om de relativt klena CPU:erna i boxarna orkar skyffla så mycket data. Det kan gå men det förutsätter nog att man gräver ner sig mer i såna lösningar än vad jag har gjort och experimenterar en hel del.

Det skulle förmodligen underlätta att skaffa två routrar som kan köra VPN mot varandra och ställa innanför operatörsroutrarna på resp. sida. Och sedan koppla ihop Dreamboxarna via dessa. Dock är denna typen av VPN-lösningar inget jag har någon personlig erfarenhet av så jag kan inte ge några exakta besked om hur det ska gå till.

Slutligen är det värt att tänka över så att man har den bandbredd som erfordras om du inte redan har gjort det.

En annan sak är att när jag googlade på detta så verkar det vara många som har övergett vtuner-lösningen för att istället köra partnerbox-plugin eller RemoteChannelStreamConverter plugin. Det kanske är värt att titta över dessa alternativ också.

---

Stort tack för ett mäktigt svar. När vtuner rullar så fungerar det så sjukt stabilt medans jag fick lite problem med kanalbyten med RemoteChannelStreamConverter emellanåt. Är 10 mbit/s upphastighet på ena sidan och 10 mbit/s nedhastighet på andra och jag fick lite småhack med RemoteChannelStreamConverter men vtuner har inte ens visat tendenser till frysningar (förutom HD-kanaler där vissa verkar fungera medan andra inte är att tala om). Får för mig att vtuner på något underligt vis drar något mindre bandbredd eller åtminstone är uppbyggt på ett sätt som inte gör en liten dipp i den konstanta hastigheten trafikstörande på samma sätt som en strömmad kanal med RCSC. Därför föll valet på vtuner. Partnerbox har jag faktiskt inte ens testat.

Lösningen blir väl troligtvis att stänga av NAT i modemet/routern på serversidan och köra en publik IP-adress rätt in i DM800:an.
Mina följdfrågor postar jag i en ny tråd! :)

Du får gärna fortsätta rapportera om hur det går. Jag tycker det är mycket intressant om du lyckas få det att fungera bra.
Att det inte är bra ur säkerhetssynpunkt att ge DM800 en publik IP-adress har du säkert koll på. ;)

Citat:

---

Ursprungligen postat av atomized

Du får gärna fortsätta rapportera om hur det går. Jag tycker det är mycket intressant om du lyckas få det att fungera bra.
Att det inte är bra ur säkerhetssynpunkt att ge DM800 en publik IP-adress har du säkert koll på. ;)

---

OK, när jag ändå har dig på tråden! Följdfrågan blir ju hur man minimerar säkerhetsriskerna. Eftersom Enigma2 är avstängt då vtuner-daemonen körs så släcks väl även de flesta servrarna? Vilka servrar är implementerade i boxen? FTP, SSH, Telnet, Web och Samba. Några fler? Körs/är NFS som en servertjänst?

Även om man stänger ner alla servrar så blir väl boxen sårbar för diverse attacker och det antar jag inte går att göra så mycket åt? Hur är det med typ iptables eller någon form av brandvägg, det finns inte implementerat va?

En annan nackdel är att IP-adressen kommer vara dynamisk. Vid t.ex. ett elavbrott är risken att boxen byter IP-adress. Har hittat ett script som bara behöver wget för att uppdatera en DNS-tjänst, skulle detta skriptet fungera direkt i en DM800?

Kod:

---

#!/bin/bash

###########################################################################
#
#  Files:
#          freedns.conf        Keeps the last updated IP
#          freedns.log        Register date & time of the actualization
#
###########################################################################

if test -f freedns.conf
  then
  CacheIP=$(cat freedns.conf)
fi

CurreIP=$(wget http://freedns.afraid.org/dynamic/check.php -o /dev/null -O /dev/stdout | grep Detected | cut -d : -f 2 | cut -d '<' -f 1 | tr -d " ")


if [ "$CurreIP" = "$CacheIP" ]
  then
  echo "Update not required."
else
  echo "Updating http://free.afraid.org with IP:" $CurreIP
  wget http://freedns.afraid.org/dynamic/update.php?il37l6oaTLt27zFTL8s2PyET89M8QBeslS9ZQ33957dT -o /dev/null -O /dev/stdout
  echo `date` "- Updating log with IP:" $CurreIP >> freedns.log
fi


rm -f freedns.conf
echo $CurreIP > freedns.conf

---

Ja, det var många frågor och jag har inte alla svar färdiga. Jag är trots allt inget orakel som en del verkar tro här inne. ;)
Jag kan svara på sånt jag har hållit på med själv, men jag har långt ifrån hållit på med allt som avhandlas i detta forum. Det du gör nu har jag inte alls hållit på med. Det var därför jag gärna ville höra lite mer om hur det går för dig så kan jag lära mig lite av dig! :)

Jag äger ingen DM800 själv så jag vet inte exakt vilka tjänster som går i den eller vilka program som finns installerade. Det kan säkert skilja lite också beroende på vilken image man kör.

De tjänster du nämner är de jag också skulle tro körs i boxen. I många images finns det ju inställningar för vilka tjänster som ska vara igång och där kan man stänga av t.ex. Samba eller FTP-server. Nu vet jag inte riktigt hur det funkar när du säger att Enigma2 är avstängt? Kommer du åt några inställningar då?

Det du kan göra är väl att stänga av så mycket du kan i inställningarna. Sedan kolla med ps kommandot om du kan se några fler tjänster som är igång och slutligen kan du kolla med en online port-scanner när boxen är uppe och har en skarp IP-adress vilka portar som är öppna. Utifrån resultatet får man sedan jobba vidare och se om man kan stänga ner något ytterligare.

Det är svårt att säga om scriptet funkar rakt av på en DM800, det måste nästan provas. Första frågan är om wget kommandot finns? På min Vu+ Duo2 finns det. Andra frågan är om alla parametrar som används stöds av den aktuella wget-versionen. Här springer man ofta på patrull eftersom kommandona som finns på Dreambox m.fl. tenderar att vara förkrympta versioner. På min Vu+ Duo2 finns t.ex. inte -o optionen som scriptet använder och därför spårar det ur.

Kod:

---

root@vuduo2:~# which wget
/usr/bin/wget
root@vuduo2:~# wget http://freedns.afraid.org/dynamic/check.php -o /dev/null -O
/dev/stdout | grep Detected | cut -d : -f 2 | cut -d '<' -f 1 | tr -d " "
wget: invalid option -- 'o'
BusyBox v1.19.4 (2014-11-11 12:57:12 CET) multi-call binary.
Usage: wget [-c|--continue] [-s|--spider] [-q|--quiet] [-O|--output-document FILE]
        [--header 'header: value'] [-Y|--proxy on/off] [-P DIR]
        [--no-check-certificate] [-U|--user-agent AGENT] [-T SEC] URL...
Retrieve files via HTTP or FTP
        -s      Spider mode - only check file existence
        -c      Continue retrieval of aborted transfer
        -q      Quiet
        -P DIR  Save to DIR (default .)
        -T SEC  Network read timeout is SEC seconds
        -O FILE Save to FILE ('-' for stdout)
        -U STR  Use STR for User-Agent header
        -Y      Use proxy ('on' or 'off')

---

Så jag tror du har en lång resa med 'trial and error' framför dig. Men ge inte upp! :)
Vi finns här för att supporta dig om vi kan. ;)

f**n vad mycket olika beteckningar, ursäkta min okunskap.

när jag skapade mina kanallistor till min dreambox utan LNB
körde jag "tuner server" i BH på min VU+ sedan gjorde jag om dessa
med #SERVICE 4097 ipadress port osv och slängde in userbouquetten i dreamboxen.
Kanske finns någon plugin eller så för detta med jag gjorde det i notepad++
tämligen halvautomatiskt.
Det är ju även denna kanallista som jag använder externt i mina tablets/phones.

Är det detta som kallas RCSC ((RemoteChannelStreamConverter))
för då är det ju en traditionell stream och/eller trancoding (en port) och vad är då skillnaden mot

vtuner respektive partnerbox (typ skickar de dataströmmen från satelliten eller) ??

En skillnad som jag förstått det är att vtuner skickar hela transponderströmmen. Alltså inte bara en kanal utan alla kanaler som ligger på samma transponder. Det ger alltså begränsad möjlighet till att se/spela in mer än en kanal under förutsättning att de ligger på samma transponder.

Har i princip fått till det som jag vill, har dock fastnat på det jag trodde skulle vara det enklaste; att få till så att vtunerd (servern) och vtunerc (klienten) startas automatiskt på boxarna.

Kan börja med serverdelen. Vill alltså att hela systemet ska boota upp ordentligt för att sedan köra följande automatiskt (vilket fungerar kanon om jag loggar in via SSH och skriver in kommandona manuellt):

init 4
/usr/bin/vtunerd.mipsel &

Tydligen stänger init 4 ner Enigma2(?) och &-tecknet har jag lagt dit för jag tänker att den bör köras i bakgrunden. Har skrivit det som ett skript och lagt till lite sleep-rader:

vtunerd.sh

Kod:

---

#!/bin/sh
sleep 60
init 4
sleep 5
/usr/bin/vtunerd.mipsel &

---

Sleep var mest för att vara på den säkra sidan att allt "hinner med". Har gett rättigheter med chmod +x vtunerd.sh och testat att lägga till i:
/usr/bin/enigma2.sh (lite överallt i filen)
/usr/bin/enigma2_pre_start.sh
/etc/rc.local

Har labbat fram-och-tillbaks med och utan sleep-rader. Vissa gånger hänger sig Enigma2 vid bootloggan och jag tänker att det kan bero på att boxen inte går vidare när den kommer till init 4-raden. Därför bör väl hela systemet ha startats upp innan skriptet körs.

Det sista jag skulle testa var någonting som föreslogs på OpenPLi-forumet, att lägga mitt skript i /etc/init.d/ och länka ihop med /etc/rc3.d/ på något vis: ln -s ../init.d/vtunerd.sh /etc/rc3.d/S01vtunerd.sh

Och med det lilla experimentet stängde jag ute mig själv från boxen (SSH-servern startar inte längre) :D Blir att flasha om.

Tips på hur jag ska få till det!? :)

Jag har ingen DM800 så jag kan inte svära på att nedanstående funkar, det är taget från min Vu+ Duo2 som bör vara ganska lika i.o.m. att båda är Enigma2.

Om vi delar upp problemet i två delar:

1. Att få maskinen att boota upp till init 4.
I filen /etc/inittab definieras vad som är "default runlevel". Normalt står den på 3. Om du istället vill att maskinen ska starta upp automatiskt till runlevel 4 så ändrar du helt enkelt en siffra i den filen.

Kod:

---

root@vuduo2:/etc# cat inittab
# /etc/inittab: init(8) configuration.
# $Id: inittab,v 1.91 2002/01/25 13:35:21 miquels Exp $
# The default runlevel.
id:3:initdefault:
# Boot-time system configuration/initialization script.
# This is run first except when booting in emergency (-b) mode.
si::sysinit:/etc/init.d/rcS
# What to do in single-user mode.
~~:S:wait:/sbin/sulogin
# /etc/init.d executes the S and K scripts upon change
# of runlevel.
#
# Runlevel 0 is halt.
# Runlevel 1 is single-user.
# Runlevels 2-5 are multi-user.
# Runlevel 6 is reboot.
l0:0:wait:/etc/init.d/rc 0
l1:1:wait:/etc/init.d/rc 1
l2:2:wait:/etc/init.d/rc 2
l3:3:wait:/etc/init.d/rc 3
l4:4:wait:/etc/init.d/rc 4
l5:5:wait:/etc/init.d/rc 5
l6:6:wait:/etc/init.d/rc 6
# Normally not reached, but fallthrough in case of emergency.
z6:6:respawn:/sbin/sulogin
# /sbin/getty invocations for the runlevels.
#
# The "id" field MUST be the same as the last
# characters of the device (after "tty").
#
# Format:
#  <id>:<runlevels>:<action>:<process>
#

S:5:respawn:/sbin/getty ttyS0 115200
e2:3:respawn:/usr/bin/enigma2.sh

---

Den rödmarkerade 3:an ändras till en 4:a. Detta ersätter alltså kommandot "init 4".

2. Att starta vtunerd. rc.local stöds tydligen inte i OpenPLi.

Då får man gå andra vägar. Har du ett script som heter /etc/init.d/vtunerd.sh? I så fall kan du prova att länka det till runlevel 4 med:
ln -s ../init.d/vtunerd.sh /etc/rc4.d/S99vtunerd.sh

Om inget av detta funkar får du höra av dig igen.

Edit:
Efter att ha googlat och läst om OpenPLi har jag ändrat i ovanstående text. Läs om den igen ifall du läste första versionen... ;)

Nu har jag fått det att rulla som jag vill :)
Passade på att skriva en guide för den som vill ge sig på vtuner:
http://www.comhit.net/content.php/30...net-med-vtuner

atomized: Stort tack för ditt svar och skript! Jag han aldrig testa det ordentligt, för efter mycket Googlande lyckades jag till slut hitta ett skript som tydligen var byggt just för vtuner-servern och det är det som är med i guiden. Tydligen fanns det också ett officiellt ipk-paket för mips-boxar till klienten. Riktigt smidigt, men man kan ju inte anklaga vtuner-hemsidan för att vara övertydlig.

Kul att du fick igång det så bra! :)