From UnderLinux Wiki

Tabela de conteúdo 1 Como fazer um tunel para conexões seguras com SSL 1.1 Instale o programa como root 1.2 Iniciando cliente no linux 1.3 Iniciando cliente no windows 1.4 FONTES

Como fazer um tunel para conexões seguras com SSL

Stunnel é um programa que permite encriptar conexões TCP dentro de um túnel SSL (OpenSSL). Com ele você pode compartilhar portas para conexões muito mais seguras, com chaves RSA de 1024 bits. Pode ser usado para qualquer tipo de serviço/conexão... mysql(3306), smtp(25), pop(110), ftp(20,21) e por ai vai.

Um bom exemplo é: você tem um servidor e quer conectar ftp a ele, mas só conecta quem está com uma conexão segura... o STUNNEL é ideal pra isso!

Eu particularmente uso muito ele pra administrar MYSQL usando o MysqlFront e a porta 3306, desse jeito não preciso ficar usando o phpMyAdmin via web.

Bom, para trabalhar com ele é simples, existem 2 arquivos para configuração, um do lado do SERVER e outro do lado do CLIENTE.

Consideraremos o lado do SERVIDOR o sistema LINUX e o lado do CLIENTE ou linux ou windows.

Baixe do site ftp://stunnel.mirt.net/stunnel/ o programa stunnel-X.XX.tar.gz

Instale o programa como root

# tar zxf stunnel-X.XX.tar.gz
# cd stunnel-X.XX
# ./configure
# make
# make install

Temos agora que gerar a chave que irá encriptar nossa conexão (no meu caso uso FC4 veja sua distro onde fica o openssl):

# cd /etc/pki/tls/certs
# make stunnel.pem (preencha corretamente os dados solicitados)

Gerada a chave vamos copiala para algum lugar, no meu caso vou coloca-la na própria pasta do stunnel:

# cp /etc/pki/tls/certs/stunnel.pem /usr/local/etc/stunnel/stunnel.pem

Agora vamos criar o arquivo de configuração do SERVIDOR stunnel que irá aceitar as conexões seguras:

ARQUIVO /usr/local/etc/stunnel/stunnel_mp.conf (pode ser qualquer nome):

# Caminho completo da chave ssl
cert = /usr/local/etc/stunnel/stunnel.pem
# trava o processo em jaula chroot
chroot = /usr/local/var/stunnel/
# cria o PID dentro da jaula
pid = /stunnel.pid
# altera o UID e GID por questões de segurança
setuid = nobody
setgid = nobody
debug = 7
output = /tmp/stunnel.log
# Configure as portas seguras
[mysqls]
accept = 3307
connect = localhost:3306
[pops]
accept = 111
connect = 127.0.0.1:110

Nos casos acima... as configurações mysqls e pops mostram que serão criadas 2 portas que vão ouvir a entrada segura e redirecionar internamente para a porta correta, então as portas 3306 e 110 podem ser bloqueadas para acesso externo em seu firewall e as portas 3307 e 110 que serão as novas portas para conexão ssl devem ser liberadas. OBS: as portas para conexão ssl podem ser qualquer uma.

Vamos iniciar o serviço:

# /usr/sbin/stunnel /usr/local/etc/stunnel/stunnel_mp.conf

Agora vamos configurar os clientes para conectar ao server:

Não se esqueça que a chave stunnel.pem deve ser a mesma, copiada para o servidor e o cliente, tanto win como linux o mesmo arquivo stunnel.pem.

LINUX:

ARQUIVO /usr/local/etc/stunnel/stunnel_mp_cli.conf (pode ser qualquer nome):

# Caminho completo da chave ssl
cert = stunnel.pem
#Definindo que é cliente
client = yes
[mysqls]
accept = 3306
connect = 200.x.x.x:3307
[pops]
accept = 110
connect = 200.x.x.x:111

Lembrando que 200.x.x.x é o ip do servidor!

Seu programa cliente deve ser configurado para acessar o mysql localmente (localhost ou 127.0.0.1) ou seu cliente de e-mails devem conectar localmente também, eles serão redirecionados para o servidor na porta correta.

Iniciando cliente no linux

# /usr/sbin/stunnel /usr/local/etc/stunnel/stunnel_mp_cli.conf

Após isso tente conectar ao mysql do outro server:

# mysql -h 127.0.0.1 -u seuusuario -p

Iniciando cliente no windows

Para as configurações do cliente no windows baixe o stunnel-x.xx.exe em http://www.stunnel.org/download/binaries.html

Baixe também as dlls do openssl for win32 que estão no mesmo lugar e coloque elas no mesmo diretorio da instalação do stunnel.

Coloque ainda no mesmo diretório os arquivos:

stunnel.pem
stunnel_mp_cli.conf (com o nome: stunnel.conf)

Rode o stunnel-x.xx.exe

Pronto!! Sua conexão está feita... agora abra seu mysql front ou qualquer outro, outlook etc e navegue entre suas maquinas com um tunnel ssl!!!!

Essas portas podem ser usadas para qualquer serviço de conexão remota!! Brinque avontade com suas portas e conexões!!!

É só lembrar sempre de bloquear acesso remoto a essas portas pelo firewall ou pelo hosts e liberar as portas para comunicação ssl.

Qualquer dúvida ponho meu e-mail para explicações!

Até mais galera!

Kablu kablubr@gmail.com Analista de Tecnologias

FONTES

Stunnel -- Universal SSL Wrapper - http://www.stunnel.org stunnel - multiplatform SSL tunneling proxy - http://stunnel.mirt.net/