Sut mae anfon lleol SSH yn cludo sesiwn TCP OpenVPN

Mae tri thrawsgludiad yn pentwr yma, ac mae gan bob un ei fframwaith ei hun. Mae llwyth VPN yn teithio o fewn sesiwn TLS, mae'r sesiwn TLS honno'n teithio o fewn cysylltiad TCP i borth dolen gefn, ac mae beitiau'r cysylltiad hwnnw'n teithio o fewn SSH i westeiwr trosglwyddo, sy'n agor y cysylltiad TCP go iawn i wrandawr y VPN. Nid oes dim yn y drefn yn newid yr hyn y mae OpenVPN yn ei ddilysu, ac nid oes dim ynddi yn gwneud gwrandawr UDP yn gyrraeddadwy dros TCP. Darllenwch weddill hwn fel disgrifiad o lwybr y beitiau, nid fel rysáit ar gyfer osgoi rheolaeth rwydwaith.

Beth mae'r anfon lleol yn ei symud mewn gwirionedd

Mae'r cleient SSH yn gwrando ar borth lleol. Pan fydd proses leol yn cysylltu, mae'r cleient yn pecynnu'r beitiau i'w sianel amgryptiedig, ac mae ochr y gweinydd yn agor cysylltiad TCP newydd i'r cyrchfan a enwir yn y cais anfon.

Mae'r cyrchfan honno'n cael ei datrys gan y trosglwyddiad, nid gan eich peiriant, a dyna pam mae enw sy'n bodoli o fewn y rhwydwaith pell yn unig yn dal i weithio. Mae hefyd yn golygu bod yn rhaid i'r trosglwyddiad allu cyrraedd gwrandawr y VPN ac anfon llwybr yn ôl ato. Nid yw enw sy'n datrys ar eich gliniadur yn dweud dim wrthych am yr hyn y gall y trosglwyddiad ei weld.

Mae dechrau'r sesiwn SSH yn profi'n unig bod y trosglwyddiad yn gyrraeddadwy ac wedi'i ddilysu. Nid yw'n dweud dim am a yw'r gwrandawr nesaf i fyny, a yw mur tân rhwng y trosglwyddiad a'r gwrandawr yn derbyn y cysylltiad, na a fydd y VPN yn derbyn eich proffil.

Pwyntiwch y cleient at y gwrandawr lleol

Enghraifft a ddatganwyd: gall y trosglwyddiad gyrraedd gwrandawr TCP yn gw.internal.example:443, ac mae porth lleol uchel yn datgelu'r llwybr hwnnw i'r peiriant hwn yn unig.

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

Llawlyfr OpenSSH yn disgrifio'r anfon lleol fel derbyn cysylltiadau TCP yn lleol ac agor y cysylltiad nesaf o'r ochr bell. Rhwymwch y gwrandawr at y ddolen gefn yn hytrach nag at bob rhyngwyneb, oherwydd mae anfon sy'n gyrraeddadwy o'r rhwydwaith yn drosglwyddiad agored gyda'ch enw arno. Mae rhwymo gwyllt hefyd yn datgelu'r porth i unrhyw gyfrif lleol arall ar beiriant a rennir.

Yna gosodwch y cleient VPN i'w fodd TCP a'i bwyntio at 127.0.0.1:24011. Os yw'r proffil yn defnyddio UDP, ni all y dyluniad hwn helpu: mae'r anfon yn cludo ffrwd beitiau, ac nid oes llwybr datagram trwyddo.

Cadwch y ddau ddilysiad ar wahân

Mae SSH yn dilysu'r gwesteiwr trosglwyddo. Mae OpenVPN yn dal i ddilysu cymar y VPN, ac nid yw'r gyrchfan dolen gefn yn newid y gofyniad hwnnw. Mae analluogi gwiriadau tystysgrif oherwydd bod y soced bellach yn pwyntio at localhost yw'r llwybr byr gwaethaf sydd ar gael yn y dyluniad hwn. Mae'n troi trefniant trawsgludo yn drefniant ymddiriedaeth, ac ni chytunodd neb i'r ail.

Cadwch angor ymddiriedaeth y proffil, y gwiriad rôl gweinydd a'r dilysiad enw yn gyfan. Os yw eich cleient yn cymharu enw'r gweinydd â'r cyfeiriad y gwnaeth alwad iddo, efallai y bydd angen gosodiad enw penodol ar y ddolen gefn yn hytrach na gwiriad wedi'i analluogi, a dogfennaeth y proffil yw'r lle i gadarnhau pa faes sy'n cael ei gymharu.

Triniwch y trosglwyddiad fel ail barti yn stori ymddiriedaeth: gall ei weinyddwr weld metadata cysylltiadau a gall ailgyfeirio'r anfon os newidir y ffurfweddiad. Mae'r drefn angen cymeradwyaeth gan y trosglwyddiad a pherchennog y gwasanaeth VPN, nid yn unig gan pwy bynnag sydd ei angen heddiw.

Peidiwch ag adeiladu dolen o dan y tiwnel

Unwaith y bydd y VPN yn gosod llwybrau, mae'r cysylltiad SSH sy'n ei gludo yn dal i fod angen llwybr at y trosglwyddiad nad yw'n mynd trwy'r tiwnel. Os yw'r llwybr diofyn yn symud i'r VPN a'r trosglwyddiad yn gyrraeddadwy drwy'r un tiwnel yn unig, mae'r trawsgludiad yn cwympo ac mae'r VPN yn mynd gydag ef. Mae'r methiant yn edrych fel tiwnel sydd wedi gollwng yn hytrach na chamgymeriad llwybro, a dyna pam mae'n cael ei gamddiagnosio.

Y drws arferol yw llwybr gwesteiwr i gyfeiriad y trosglwyddiad wedi'i binio i'r rhyngwyneb corfforol cyn i'r tiwnel godi, ynghyd â gwiriad bod y llwybr yn goroesi ailgysylltiad. Gwiriwch ef gyda chwiliad llwybr ar gyfer cyfeiriad y trosglwyddiad yn hytrach na thybio bod y drefn wedi bod yn gywir.

Disgwyliwch hefyd y bydd y pentwr hwn yn arafach ac yn fwy bregus na chysylltiad uniongyrchol, oherwydd bellach mae dau drawsgludiad trefnus a phen draw arall i'w gynnal. Mae'n ffordd o groesi ffin rhwydwaith, nid yn dechneg perfformiad.

Caewch y gwrandawr pan fyddwch wedi gorffen

Ataliwch y sesiwn SSH pan nad oes angen y tiwnel mwyach, a chadarnhewch fod y porth lleol wedi'i ryddhau. Mae anfon wedi'i anghofio yn cadw llwybr dilys ar agor ar beiriant a allai gael ei rannu.

Adolygwch gyrchfannau anfon a ganiateir y trosglwyddiad hefyd, oherwydd mae ffurfweddiad caniataol yn troi unrhyw gyfrif wedi'i gyfaddawdu yn golyn cyffredinol. Cofnodwch y porth, y trosglwyddiad a'r gyrchfan gyda'i gilydd, fel y gall y person nesaf wybod beth oedd pwrpas yr anfon ac a yw'n dal i gael ei gymeradwyo.