NetworkManager-ssh viser forbindelse, men intet bliver routet
Indikatoren beviser kun, at det administrerede SSH-forhold findes. Undersøg, om plugin’et byggede en tunnel-enhed eller et sæt videresendelser, og test derefter appens vej.
Menuen viser SSH-forbindelsen som aktiv, værtsnøglen blev accepteret, og browseren når stadig intet af det, den skulle nå. Det er ikke en modsætning, for en NetworkManager-ssh-profil kan give to helt forskellige resultater ud af samme vært og nøgle: en tunnel-enhed, der bærer pakker, eller et sæt videresendelser, som kun visse programmer kan bruge. Indikatoren rapporterer, at det administrerede SSH-forhold findes. Den rapporterer aldrig, hvilket af de to du fik.
To resultater bag ét menupunkt
Begge tilstande godkender på samme måde, og det er netop derfor, de forveksles. Vælger du profilen fuldstændig ens, med de samme legitimationsoplysninger, kan du stå med et interface, du kan route igennem, eller med en lyttende socket, som ét program skal have at vide om.
Begynd med at afgøre, hvilket resultat opgaven faktisk har brug for. Et krav om nåbarhed til et helt undernet kræver en enhed. En enkelt tjeneste på en fjern vært kræver en videresendelse, og at bygge en tunnel til den skaber som regel mere routingarbejde, end problemet fortjente.
Hvad hver tilstand skal have, før den virker
Projektet dokumenterer begge tilstande, og forudsætningerne er så forskellige, at en manglende ser ud som en protokolfejl snarere end et designvalg.
| Mode | What must exist | What still has to be true |
|---|---|---|
| Tunnel device | Compatible TUN/TAP arrangement on both ends, permission, addressing | A route policy that actually sends the intended prefixes into it |
| Forwarding only | A chosen SOCKS, local-forward or remote-forward listener | A permitted destination path on the far side |
Læs højre kolonne omhyggeligt, for det er der, de fleste af disse sager ender. Selv en perfekt bygget tunnel-enhed dækker kun det, routing sender ind i den, og selv en perfekt videresendelse hjælper kun de programmer, der er blevet fortalt, at de skal bruge den.
Dummy-interfacet er ikke en tunnel
I videresendelsestilstand dokumenterer plugin’et et dummy-interface, der oprettes for at opfylde forbindelsesmodellen. Det findes, for at administratoren har noget at knytte tilstand til. Det bærer ikke vilkårlige programpakker til fjernnetværket, og intet ved dets tilstedeværelse antyder, at IP-routing er ændret.
Projektets eksempler på fuld tunnel handler om OpenSSH-understøttelse af tunnel-enheder, så ordet tunnel i en etiket beskriver en evne, ikke din faktiske politik. Kontroller, hvad kernen vil gøre, i stedet for hvad profilen hedder.
nmcli connection show --active
ip -br link
ss -lntp | grep -E "1080|8080"Sammenhold derefter resultatet med programmet. Et SOCKS-bevidst program skal konfigureres til at bruge proxyserveren. En forbruger af lokal videresendelse skal peges mod sin lytter. Ingen af dem finder videresendelsen af sig selv, og ingen af dem hjælpes af en forbindelsesindikator, der blev grøn.
Forbered den fjerne side i stedet for at tvinge den
En almindelig SSH-konto kan godkende uden nogen tilladelse til at rejse en fjern tunnel-enhed. Projektet dokumenterer en vej uden root, hvor en administrator opretter enheden på forhånd for den bruger, og klienten vælger derefter det matchende nummer.
Den ordning kræver koordinering med serverens tunnelpolitik og med den, der ejer adresseringen på fjernnetværket. At oprette enheden giver ikke i sig selv ressourcevejene, videresendelsestilladelserne eller en returvej, og intet af det kommer, fordi eksempelkonfigurationen så overbevisende ud.
Det, du ikke bør gøre, er at aktivere ubegrænset videresendelse eller fjern root-login for at få et eksempel til at virke. Hvor operatøren ejer opsætningen af fjernnetværket, brug den understøttede ordning til at overlade de kommandoer til den ejer, og undgå en ekstra hjælper, der genopretter modstridende adresser ved afbrydelse.
Godkendelseskontekst, og hvad du skal skrive i sagen
Godkendelse har sin egen kontekst. Plugin’et leder efter en SSH-agent, der er knyttet til brugersessionen, og kræver, at destinationsværten er kendt, så en nøgle, der virker i én terminal, bliver ikke automatisk synlig for administratorens godkendelsesvej. Få værtsnøglen registreret og kontrolleret gennem den godkendte proces i stedet for at slå kontrollen fra.
Til support skal du notere fire ting: plugin’et og versionen, den valgte tilstand, den tilsigtede fjerne identitet og det interface eller den lytter, der burde være dukket op. Test derefter programmets indgangspunkt direkte. En tilsluttet indikator plus en fungerende test er bevis; en tilsluttet indikator alene er en udtalelse om SSH, ikke om den routing eller ressourcetilladelse, du prøvede at opnå.