ssh и http на одном порте

https://linux.die.net/man/8/sslh

единственный бок, в логах хттп и ссх коннекты будут с 127.0.0.1

лис распознаёт порт как https и я даже файл оттуда не могу скачать. хотя в схеме как для дебилов указано http. wget работает нормально.

проблема с реальным адресом в sslh решается роутингом:

/bin/ip route add local 0.0.0.0/0 dev lo table 100
/bin/ip rule add fwmark 0x1 lookup 100

iptables -t mangle -N SSLH
iptables -t mangle -A SSLH -j MARK --set-xmark 0x1/0xffffffff
iptables -t mangle -A SSLH -j ACCEPT

если трифик https из контейрера с ip 192.168.1.2:

iptables -t mangle -A PREROUTING -s 192.168.1.2/32 -p tcp -m tcp --sport 443 -j SSLH

Настрой http-прокси и ходи на ssh через него. Или настрой какой-нибудь браузерный шелл.

мне нужна веб-страница доступная из интернета

да не проблема это, у меня там статический контент отдаётся

Не подскажешь как вырубить hsts?

Оказывается даже xinetd поддерживает TCPMUX

Сделай себе веб-страницу, доступную из интернета.

Это самое простое, как и многое другое. А вот решение в рамках задачи ТС, гораздо интереснее. Правда чисто в академическом масштабе.

Ладно, sslh работает стабильно, под httpd заюзал busybox подправленный НЁХ-редактором.
Только вот на этом же домене когда-то был hsts и теперь не понятно как его сбросить

Почисти историю в браузере

chrome://net-internals/#hsts

https://314es.pl/https-openvpn-and-ssh-on-one-port-thanks-to-haproxy

Можно навелосипедить свой заменитель ssh из netcat, баша, синей изолетны, балок и кала, работающий через UDP.
Конечно будет решето, но на сколько я понимаю это какая-то домашняя поделка которую едва-ли кто-то будет прицельно ломать, ну а боты обломаются увидев нечто нестандартное.

tcpdump же
Слишком просто.
А вообще есть pdf про ssh по udp, легко гуглится и там написано как его сделать. Но это морока.

Только сначала надо этот поток перехватить. Ну и шифрование можно привелосипедить какое-то. Конечно так делать нельзя, за-то интересно (:
Можно упороться и попробовать как-то загнать ssh-ный tcp поток в udp тоннель, но как это сделать на коленке без доступа к ядру я не представляю.

Не вижу ничего интересного. Ну прокси + виртхост с сайтиком. Ну вебшелл. Выбирай на вкус.

Вебщель с закрытым tcp не так то просто

Чего тут непростого? CGI скрипт который принемает комманду (POST из формы), выполняет её и возвращает результат. Сложно только сделать это удобным.

В lxc проброшен один tcp порт (занят в данный момент под ssh) и 5 udp.

На одном из udp-портов поднять OpenVPN и использовать его для подключения по SSH. На tcp-порту запустить web-сервер.

в этом плане да. готовой реализации нет т.к все хотят порты свои. к тому же нужно клиентское шифрование

lxc

все хотят порты свои

Это ещё зачем?

к тому же нужно клиентское шифрование

Ну https прикрути если так хочется.

Тут уже проскакивал вариант с haproxy, может в его сторону поглядеть?

Haproxy слушает tcp-порт, устанавливает ssl-соединение, а дальше разруливает трафик на http и на telnetd, с ним, быть может, проще будет, чем с ssh.

Да я уже sslh настроил