Anfon lleol SSH i brocsi HTTP sy’n bodoli: dau gyfeiriad loopback

Mae eich procsi cymeradwy yn rhedeg ar westeiwr naid lle mae’n gwrando ar loopback yn unig, felly ni all unrhyw beth y tu allan i’r peiriant hwnnw gyrraedd ato. Nid oes arnoch angen VPN nac procsi newydd; mae arnoch angen un porth o’r peiriant hwnnw wedi’i gludo i un porth gennych chi. Mae anfoniad lleol yn gwneud yn union hynny, ac mae’n cymryd un gorchymyn ynghyd ag un gosodiad rhaglen. Mae’r dryswch fel arfer yn codi o gymysgu pa gyfeiriad loopback sy’n perthyn i ba beiriant.

Penderfynwch a oes procsi sefydlog eisoes

Mae’r dechneg hon yn anfon gwasanaeth sydd eisoes yn rhedeg. Os nad oes gan y gwesteiwr anghysbell ond daemon SSH heb brocsi, ni fydd unrhyw faint o anfon yn creu un, a bydd y cysylltiad yn cael ei wrthod o’r ochr anghysbell. Cadarnhewch fod y procsi wedi’i rwymo, pa borth yw e, ac a yw’n gwrando ar 127.0.0.1 neu ar gyfeiriad rhyngwyneb penodol, oherwydd y cyfeiriad hwnnw yw’r hyn y mae’n rhaid i’r anfoniad ei dargedu.

Mae cadarnhau hyn yn gyntaf yn eich arbed rhag dadfygio twnnel na chafodd ei gysylltu â dim erioed.

Adeiladwch yr anfoniad a darllenwch y gorchymyn

Mae’r ffurf rydych chi ei eisiau yn rhwymo porth loopback ar eich gliniadur ac yn ei gysylltu, o ochr y gweinydd, â chyfeiriad y procsi fel y mae’r gweinydd yn ei weld.

ssh -NT -o ControlPath=none -o ExitOnForwardFailure=yes \
  -L 127.0.0.1:13128:127.0.0.1:3128 [email protected]

Mae -N yn atal gorchymyn anghysbell ac mae -T yn atal dyrannu termios, oherwydd rydych chi eisiau twnnel yn hytrach na phlisg. Y cyfeiriad loopback cyntaf yw lle mae’r gliniadur yn gwrando; mae’r ail yn cael ei ddatrys gan weinydd SSH, felly mae 127.0.0.1 yno yn golygu’r procsi ar y peiriant hwnnw. Mae ExitOnForwardFailure yn gwneud i’r gorchymyn fethu’n uchel os yw’r porth lleol eisoes wedi’i gymryd, yn lle dechrau sesiwn nad yw’n anfon dim. Ysgrifennwch y cyfeiriad targed fel y mae’r gweinydd yn ei ddatrys, oherwydd bydd enw na all ond eich gliniadur ei ddatrys yn methu ar yr ochr draw.

Mae polisi’r gweinydd ei hun yn berthnasol cyn i unrhyw beth o hyn weithio. Rhaid i AllowTcpForwarding ganiatáu hynny, a gall PermitOpen gyfyngu pa gyrchfannau a phorthladdoedd y gall sesiwn eu cyrraedd, felly gall anfoniad y mae’r cleient yn ei dderbyn gael ei wrthod gan y gweinydd o hyd. Mae’r gwrthodiad yn ymddangos fel gwall anfon neu sianel ar y cleient, ac mae darllen y neges honno’n gyflymach na golygu’r gorchymyn.

Pwyntiwch un rhaglen at yr anfoniad

Ffurfweddwch y rhaglen i ddefnyddio procsi HTTP yn http://127.0.0.1:13128, gyda manyluniau mewngofnodi os yw’r procsi anghysbell yn gofyn amdanynt. Cadwch wirio tystysgrifau’r rhaglen ei hun ar gyfer cyrchfannau HTTPS, oherwydd nid yw twnnel y procsi yn ei ddisodli. Anfoniad sefydlog o un gwasanaeth yw hwn, felly rhaid dweud wrth y rhaglen am brocsi yn lle ei gadael i’w ddarganfod.

Gwiriad cyflym cyn ffurfweddu unrhyw beth parhaol: curl -x http://127.0.0.1:13128 -I https://example.com, sy’n arfer y dull HTTP CONNECT y mae’n rhaid i’r procsi ei gefnogi.

Cadwch yr awdurdod lle’r oedd

Mae’r procsi anghysbell yn dal i benderfynu pa gyrchfannau a dulliau y mae’n eu caniatáu, ac ni ddylai mewngofnodi SSH roi relay gwe cyffredinol i bob cyfrif yn dawel. Mae rhwymo i 127.0.0.1 ar y gliniadur yn osgoi cyhoeddi’r porth i’ch rhwydwaith lleol, ac nid yw’n gwneud y porth yn breifat rhag prosesau eraill ar yr un peiriant. Disodli’r rhwymiad hwnnw â chyfeiriad wildcard i rannu’r procsi yw’r ffordd y caiff relay agored heb ei reoli ei greu.

Mae cludiant SSH yn diogelu’r naid at y gweinydd. Y tu hwnt i’r pwynt hwnnw mae’r procsi’n agor ei gysylltiad ei hun, felly mae cais HTTP plaen i gyrchfan yn parhau’n blaen y tu hwnt i’r gweinydd, er bod y segment cyntaf wedi’i amgryptio.

Gwiriwch y ddau ben, yna glanhewch

Mae sefydlu’r twnnel lleol a llwyddiant y gwasanaeth anghysbell yn ganlyniadau gwahanol, ac mae statws allanfa’r gorchymyn yn dweud wrthych am y cyntaf yn unig. Gwiriwch fod y gwrandäwr yn bodoli gyda ss -ltn, yna gwnewch gais a ganiateir gan y rhaglen a chais y dylai’r procsi ei wrthod. Os yw’r ddau yn ymddwyn fel y disgwylir, mae’r llwybr yn real; os yw’r twnnel i fyny ac mae pob cais yn methu, mae’r procsi’n gwrthod neu’n methu cyrraedd y gyrchfan.

Pan fyddwch wedi gorffen, stopiwch y broses SSH sy’n berchen arno, tynnwch y gosodiad procsi o’r rhaglen, a chadarnhewch fod y porth lleol wedi diflannu yn lle gadael gwrandäwr sy’n goroesi’r dasg.