NetworkManager-ssh mostra la connexió però no s’encamina res
L’indicador només demostra que la relació SSH gestionada existeix. Comproveu si el connector ha creat un dispositiu de túnel o un conjunt de reenviaments, i després proveu el camí de l’aplicació.
El menú mostra la connexió SSH com a activa, la clau de l’amfitrió s’ha acceptat, i el navegador encara no arriba enlloc d’on havia d’arribar. No és una contradicció, perquè un perfil de NetworkManager-ssh pot produir dos resultats ben diferents amb el mateix amfitrió i la mateixa clau: un dispositiu de túnel que transporta paquets, o un conjunt de reenviaments que només certes aplicacions poden utilitzar. L’indicador informa que la relació SSH gestionada existeix. Mai no informa de quin dels dos heu rebut.
Dos resultats darrere d’una entrada de menú
Tots dos modes autentiquen de la mateixa manera, i precisament per això es confonen. Seleccionar el perfil exactament igual, amb les mateixes credencials, us pot deixar amb una interfície per la qual podeu encaminar o amb un sòcol d’escolta del qual cal informar una aplicació.
Comenceu decidint quin resultat necessita realment la tasca. Un requisit d’abast per a tota una subxarxa necessita un dispositiu. Un sol servei en un amfitrió remot necessita un reenviament, i construir-hi un túnel sol crear més feina d’encaminament del que el problema mereixia.
Què ha de tenir cada mode abans de funcionar
El projecte documenta tots dos modes, i els requisits previs difereixen prou perquè un de absent sembli una fallada de protocol i no una decisió de disseny.
| Mode | What must exist | What still has to be true |
|---|---|---|
| Tunnel device | Compatible TUN/TAP arrangement on both ends, permission, addressing | A route policy that actually sends the intended prefixes into it |
| Forwarding only | A chosen SOCKS, local-forward or remote-forward listener | A permitted destination path on the far side |
Llegiu amb atenció la columna de la dreta, perquè és on acaben la majoria d’aquestes incidències. Fins i tot un dispositiu de túnel perfectament construït només cobreix el que l’encaminament hi envia, i fins i tot un reenviament perfecte només ajuda les aplicacions a qui s’ha dit que l’utilitzin.
La interfície fictícia no és un túnel
En mode de reenviament, el connector documenta una interfície fictícia creada per satisfer el model de connexió. Existeix perquè el gestor tingui alguna cosa on adjuntar l’estat. No transporta paquets arbitraris d’aplicacions cap a la xarxa remota, i res de la seva presència no implica que l’encaminament IP hagi canviat.
Els exemples de túnel complet del projecte tracten del suport de dispositiu de túnel d’OpenSSH, així que la paraula túnel en una etiqueta descriu una capacitat, no la vostra política efectiva. Comproveu què farà el nucli en lloc de com es diu el perfil.
nmcli connection show --active
ip -br link
ss -lntp | grep -E "1080|8080"Després feu correspondre el resultat amb l’aplicació. Un programa que entén SOCKS s’ha de configurar per utilitzar el servidor intermediari. Un consumidor de reenviament local s’ha d’adreçar al seu sòcol d’escolta. Cap dels dos descobreix el reenviament pel seu compte, i a cap dels dos no l’ajuda un indicador de connexió que s’hagi posat verd.
Prepareu la banda remota en lloc de forçar-la
Un compte SSH corrent es pot autenticar sense cap permís per aixecar un dispositiu de túnel remot. El projecte documenta un camí sense root en què un administrador crea prèviament el dispositiu per a aquest usuari, i el client després tria el número corresponent.
Aquesta disposició necessita coordinació amb la política de túnel del servidor i amb qui posseeix l’adreçament a la xarxa remota. Crear el dispositiu no atorga per si mateix les rutes dels recursos, els permisos de reenviament ni un camí de tornada, i res d’això no arriba perquè la configuració d’exemple semblés convincent.
El que no hauríeu de fer és habilitar un reenviament sense restriccions o un inici de sessió root remot per fer funcionar un exemple. On l’operador posseeix la configuració de la xarxa remota, utilitzeu la disposició admesa per deixar aquestes ordres a aquest propietari, i eviteu un segon auxiliar que restableixi adreces conflictives en desconnectar.
Context d’autenticació, i què posar a la incidència
L’autenticació té el seu propi context. El connector busca un agent SSH associat amb la sessió de l’usuari i exigeix que l’amfitrió de destinació sigui conegut, així que una clau que funciona en un terminal no es fa automàticament visible al camí d’autenticació del gestor. Feu que la clau de l’amfitrió quedi registrada i comprovada pel procés aprovat en lloc de desactivar la comprovació.
Per a suport, anoteu quatre coses: el connector i la versió, el mode seleccionat, la identitat remota prevista i la interfície o el sòcol d’escolta que hauria d’haver aparegut. Després proveu directament el punt d’entrada de l’aplicació. Un indicador connectat acompanyat d’una prova que funciona és una evidència; un indicador connectat sol és una afirmació sobre SSH, no sobre l’encaminament ni el permís de recurs que intentàveu obtenir.