NetworkManager-ssh montras konekton sed nenio estas vojgvidata
La indikilo pruvas nur, ke la administrata SSH-rilato ekzistas. Kontrolu, ĉu la kromaĵo konstruis tunelan aparaton aŭ aron da plusendoj, poste testu la vojon de la aplikaĵo.
La menuo montras la SSH-konekton kiel aktivan, la gastiga ŝlosilo estis akceptita, kaj la retumilo ankoraŭ atingas nenion, kion ĝi devintus atingi. Tio ne estas kontraŭdiro, ĉar NetworkManager-ssh-profilo povas produkti du tute malsamajn rezultojn el la sama gastigo kaj ŝlosilo: tunela aparato, kiu portas pakaĵojn, aŭ aro da plusendoj, kiujn nur certaj aplikaĵoj povas uzi. La indikilo raportas, ke la administrata SSH-rilato ekzistas. Ĝi neniam raportas, kiun el la du vi ricevis.
Du rezultoj malantaŭ unu menuero
Ambaŭ reĝimoj aŭtentikigas same, kaj ĝuste tial ili konfuziĝas. Elekti la profilon tute same, kun la samaj akreditaĵoj, povas lasi vin kun interfaco, tra kiu vi povas vojgvidi, aŭ kun aŭskultanta soketo, pri kiu unu aplikaĵo devas esti informita.
Komencu per decido, kiun rezulton la tasko vere bezonas. Postulo atingi tutan subreton bezonas aparaton. Unu servo sur fora gastigo bezonas plusendon, kaj konstrui tunelon por ĝi kutime kreas pli da vojgvida laboro ol la problemo meritis.
Kion ĉiu reĝimo devas havi antaŭ ol ĝi funkcias
La projekto dokumentas ambaŭ reĝimojn, kaj la antaŭkondiĉoj tiom malsamas, ke mankanta aspektas kiel protokola fiasko, ne kiel dizajna decido.
| Mode | What must exist | What still has to be true |
|---|---|---|
| Tunnel device | Compatible TUN/TAP arrangement on both ends, permission, addressing | A route policy that actually sends the intended prefixes into it |
| Forwarding only | A chosen SOCKS, local-forward or remote-forward listener | A permitted destination path on the far side |
Legi la dekstran kolumnon atente, ĉar tie finiĝas la plej multaj el ĉi tiuj biletoj. Eĉ perfekte konstruita tunela aparato kovras nur tion, kion vojgvidado en ĝin sendas, kaj eĉ perfekta plusendo helpas nur la aplikaĵojn, al kiuj oni diris uzi ĝin.
La ŝajn-interfaco ne estas tunelo
En plusenda reĝimo la kromaĵo dokumentas ŝajn-interfacon kreitan por plenumi la konektan modelon. Ĝi ekzistas por ke la administrilo havu ion, al kio ligi staton. Ĝi ne portas arbitrajn aplikaĵajn pakaĵojn al la fora reto, kaj nenio en ĝia ĉeesto implicas, ke IP-vojgvidado ŝanĝiĝis.
La ekzemploj de plena tunelo en la projekto temas pri subteno de tunelaj aparatoj de OpenSSH, do la vorto tunelo en etikedo priskribas kapablon, ne vian efektivan politikon. Kontrolu, kion la kerno faros, anstataŭ kiel la profilo nomiĝas.
nmcli connection show --active
ip -br link
ss -lntp | grep -E "1080|8080"Poste kongruigu la rezulton al la aplikaĵo. Programo, kiu komprenas SOCKS, devas esti agordita uzi la prokurilon. Konsumanto de loka plusendo devas esti direktita al sia aŭskultanto. Neniu el ili malkovras la plusendon mem, kaj neniu estas helpata de konekta indikilo, kiu verdiĝis.
Preparu la foran flankon anstataŭ devigi ĝin
Ordinara SSH-konto povas aŭtentikigi sen ajna permeso starigi foran tunelan aparaton. La projekto dokumentas vojon sen radikaj rajtoj, en kiu administranto antaŭe kreas la aparaton por tiu uzanto, kaj la kliento poste elektas la respondan numeron.
Tia aranĝo postulas kunordigon kun la tunela politiko de la servilo kaj kun tiu, kiu posedas adresadon en la fora reto. Krei la aparaton per si mem ne donas la rimedajn vojojn, la plusendajn permesojn nek reiran vojon, kaj nenio el tio venas ĉar la ekzempla agordo aspektis konvinka.
Kion vi ne devus fari, estas ŝalti senliman plusendon aŭ foran radikan saluton por ke ekzemplo funkciu. Kie la funkciiganto posedas la foran retan agordon, uzu la subtenatan aranĝon por lasi tiujn komandojn al tiu posedanto, kaj evitu duan helpanton, kiu restarigas kontraŭdirajn adresojn ĉe malkonekto.
Aŭtentikiga kunteksto, kaj kion meti en la bileton
Aŭtentikigo havas sian propran kuntekston. La kromaĵo serĉas SSH-agenton asociitan kun la uzanta seanco kaj postulas, ke la cela gastigo estu konata, do ŝlosilo, kiu funkcias en unu terminalo, ne aŭtomate videblas al la aŭtentikiga vojo de la administrilo. Registrigu kaj kontroligu la gastigan ŝlosilon per la aprobita procezo anstataŭ malŝalti la kontrolon.
Por subteno, notu kvar aferojn: la kromaĵon kaj version, la elektitan reĝimon, la celatan foran identecon kaj la interfacon aŭ aŭskultanton, kiu devintus aperi. Poste testu la enirpunkton de la aplikaĵo rekte. Konektita indikilo kune kun funkcianta testo estas pruvo; konektita indikilo sola estas aserto pri SSH, ne pri la vojgvidado aŭ la rimeda permeso, kiun vi klopodis akiri.