NetworkManager-ssh паказвае злучэнне, але нічога не маршрутызуецца
Індыкатар даказвае толькі існаванне кіраванай сувязі SSH. Праверце, што стварыў плагін — тунельную прыладу ці набор перасыланняў, — потым праверце шлях праграмы.
Меню паказвае злучэнне SSH як актыўнае, ключ хоста прыняты, а браўзер па-ранейшаму не дасягае нічога, да чаго павінен быў дасягаць. Гэта не супярэчнасць, бо профіль NetworkManager-ssh можа даць два зусім розныя вынікі з аднаго і таго ж хоста і ключа: тунельная прылада, якая пераносіць пакеты, або набор перасыланняў, якімі могуць карыстацца толькі пэўныя праграмы. Індыкатар паведамляе, што кіраваная сувязь SSH існуе. Ён ніколі не паведамляе, які з двух вынікаў вы атрымалі.
Два вынікі за адным пунктам меню
Абодва рэжымы аўтэнтыфікуюцца аднолькава, менавіта таму іх блытаюць. Калі выбраць профіль гэтак жа, з тымі ж уліковымі данымі, вы можаце атрымаць інтэрфейс, праз які можна маршрутызаваць, або слухаючы сокет, пра які трэба паведаміць адной праграме.
Пачніце з рашэння, які вынік сапраўды патрэбны задачы. Патрабаванне дасяжнасці ўсёй падсеткі патрабуе прылады. Адзіная паслуга на аддаленым хосце патрабуе перасылання, і будаўніцтва для яе тунеля звычайна стварае больш працы з маршрутызацыяй, чым заслужыла праблема.
Што патрэбна кожнаму рэжыму, каб ён працаваў
Праект апісвае абодва рэжымы, і папярэднія ўмовы настолькі розныя, што адсутная выглядае як збой пратаколу, а не як выбар дызайну.
| Mode | What must exist | What still has to be true |
|---|---|---|
| Tunnel device | Compatible TUN/TAP arrangement on both ends, permission, addressing | A route policy that actually sends the intended prefixes into it |
| Forwarding only | A chosen SOCKS, local-forward or remote-forward listener | A permitted destination path on the far side |
Уважліва прачытайце правую калонку, бо менавіта там заканчваецца большасць такіх заявак. Нават бездакорна пабудаваная тунельная прылада пакрывае толькі тое, што накіроўвае ў яе маршрутызацыя, і нават бездакорнае перасыланне дапамагае толькі тым праграмам, якім сказалі ім карыстацца.
Фіктыўны інтэрфейс — не тунель
У рэжыме перасылання плагін апісвае фіктыўны інтэрфейс, створаны, каб задаволіць мадэль злучэння. Ён існуе, каб кіраўніку было да чаго прымацаваць стан. Ён не пераносіць адвольныя пакеты праграм у аддаленую сетку, і нішто ў яго наяўнасці не азначае, што маршрутызацыя IP змянілася.
Прыклады поўнага тунеля ў праекце датычацца падтрымкі тунельнай прылады OpenSSH, таму слова тунель у назве апісвае магчымасць, а не вашу фактычную палітыку. Праверце, што зробіць ядро, а не як называецца профіль.
nmcli connection show --active
ip -br link
ss -lntp | grep -E "1080|8080"Потым суаднясіце вынік з праграмай. Праграма, якая разумее SOCKS, павінна быць наладжана на выкарыстанне проксі. Спажывец лакальнага перасылання павінен быць накіраваны на свой слухач. Ні адзін не выяўляе перасыланне самастойна, і ні аднаму не дапамагае індыкатар злучэння, які пазелянеў.
Падрыхтуйце аддалены бок замест таго, каб прымушаць яго
Звычайны ўліковы запіс SSH можа аўтэнтыфікавацца без дазволу ўзняць аддаленую тунельную прыладу. Праект апісвае шлях без правоў root, калі адміністратар загадзя стварае прыладу для гэтага карыстальніка, а кліент затым выбірае адпаведны нумар.
Такая схема патрабуе ўзгаднення з палітыкай тунеляў сервера і з тым, хто валодае адрасацыяй у аддаленай сетцы. Стварэнне прылады само па сабе не дае маршрутаў да рэсурсаў, дазволаў на перасыланне або зваротнага шляху, і нішто з гэтага не з'яўляецца таму, што ўзор канфігурацыі выглядаў пераканаўча.
Не варта рабіць наступнае: уключаць неабмежаванае перасыланне або аддалены ўваход root, каб прымусіць працаваць прыклад. Там, дзе аператар валодае наладай аддаленай сеткі, выкарыстоўвайце падтрыманую схему, каб пакінуць гэтыя каманды таму ўладальніку, і пазбягайце другога памочніка, які аднаўляе супярэчлівыя адрасы пры адключэнні.
Кантэкст аўтэнтыфікацыі і што пісаць у заяўцы
Аўтэнтыфікацыя мае свой кантэкст. Плагін шукае агент SSH, злучаны з сеансам карыстальніка, і патрабуе, каб хост прызначэння быў вядомы, таму ключ, які працуе ў адным тэрмінале, не становіцца аўтаматычна бачным шляху аўтэнтыфікацыі кіраўніка. Зарэгіструйце і праверце ключ хоста праз ухвалены працэс замест таго, каб адключаць праверку.
Для падтрымкі запішыце чатыры рэчы: плагін і версію, выбраны рэжым, меркаваную аддаленую асобу і інтэрфейс або слухач, які павінен быў з'явіцца. Затым праверце пункт уваходу праграмы непасрэдна. Падключаны індыкатар плюс працоўны тэст — гэта доказ; адзін падключаны індыкатар — гэта сцверджанне пра SSH, а не пра маршрутызацыю або дазвол на рэсурс, які вы спрабавалі атрымаць.