Kuidas kohalik SSH-edastus kannab TCP OpenVPN-i sessiooni

Siin kuhjuvad kolm transporti ja igal on oma raamimine. VPN-i kasulik koormus liigub TLS-sessiooni sees, see TLS-sessioon liigub TCP-ühenduse sees loopback-pordi poole ja selle ühenduse baidid liiguvad SSH sees relay-hostini, mis avab tegeliku TCP-ühenduse VPN-i kuulajani. Miski selles paigutuses ei muuda seda, mida OpenVPN autendib, ja miski selles ei tee UDP-kuulajat TCP kaudu kättesaadavaks. Lugege ülejäänut baiditee kirjeldusena, mitte võrgukontrolli möödamineku retseptina.

Mida kohalik edastus tegelikult liigutab

SSH-klient kuulab kohalikul pordil. Kui kohalik protsess ühendub, pakendab klient baidid oma krüptitud kanalisse ja serveripool avab uue TCP-ühenduse edastustaotluses nimetatud sihtkohta.

Selle sihtkoha lahendab relay, mitte teie masin, seepärast töötab nimi, mis eksisteerib ainult kaugvõrgu sees, endiselt. See tähendab ka, et relay peab pääsema VPN-i kuulajani ja omama sinna tagasiteed. Nimi, mis laheneb teie sülearvutis, ei ütle midagi selle kohta, mida relay näeb.

SSH-sessiooni käivitamine tõestab ainult, et relay on kättesaadav ja autenditud. See ei ütle midagi selle kohta, kas järgmine kuulaja töötab, kas relay ja kuulaja vaheline tulemüür ühenduse vastu võtab või kas VPN teie profiili vastu võtab.

Suunake klient kohaliku kuulaja poole

Deklareeritud näide: relay pääseb TCP-kuulajani aadressil gw.internal.example:443 ja kõrge kohalik port avab selle tee ainult sellele masinale.

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

OpenSSH käsiraamat kirjeldab kohalikku edastust TCP-ühenduste kohaliku vastuvõtmise ja järgmise ühenduse kaugpoolt avamisena. Siduge kuulaja loopbacki, mitte kõigi liidestega, sest võrgust kättesaadav edastus on avatud relay teie nimega. Metamärgiga sidumine avab pordi ka kõigile teistele kohalikele kontodele jagatud masinas.

Seejärel lülitage VPN-klient TCP-režiimi ja suunake see aadressile 127.0.0.1:24011. Kui profiil kasutab UDP-d, ei saa see lahendus aidata: edastus kannab baidivoogu ja selle kaudu ei ole datagrammide teed.

Hoidke kaks autentimist lahus

SSH autendib relay-hosti. OpenVPN autendib endiselt VPN-i partnerit ja loopback-sihtkoht ei muuda seda nõuet. Sertifikaadikontrollide väljalülitamine, sest pesa osutab nüüd localhostile, on selle lahenduse halvim otsetee. See muudab transpordipaigutuse usalduspaigutuseks ja teisega ei nõustunud keegi.

Hoidke profiili usaldusankur, serveri rolli kontroll ja nimekontroll puutumatuna. Kui teie klient võrdleb serveri nime aadressiga, millele ta helistas, võib loopback vajada selgesõnalist nimesätet, mitte väljalülitatud kontrolli, ja profiili dokumentatsioon on koht, kus kinnitada, millist välja võrreldakse.

Käsitlege relayd usaldusloo teise osapoolena: selle administraator näeb ühenduse metaandmeid ja saab edastuse ümber suunata, kui konfiguratsiooni muudetakse. Paigutus vajab nii relay kui ka VPN-teenuse omaniku heakskiitu, mitte ainult selle oma, kes seda täna vajab.

Ärge ehitage tunnelile alla silmust

Kui VPN paigaldab marsruudid, vajab seda kandev SSH-ühendus endiselt teed relayni, mis ei lähe tunnelist läbi. Kui vaikemarsruut liigub VPN-i ja relay on kättesaadav ainult sama tunneli kaudu, variseb transport kokku ja VPN läheb kaasa. Rike näeb välja nagu katkenud tunnel, mitte nagu marsruutimisviga, seepärast diagnoositakse see valesti.

Tavaline parandus on host-marsruut relay aadressile, mis on enne tunneli tõusmist füüsilise liidese külge kinnitatud, pluss kontroll, et marsruut jääb ühenduse taastamisel püsima. Kontrollige seda relay aadressi marsruudiotsinguga, selle asemel et eeldada, et järjekord oli õige.

Oodake ka, et see virn on aeglasem ja hapram kui otsene ühendus, sest nüüd on kaks järjestatud transporti ja veel üks lõpp-punkt, mida hooldada. See on viis võrgu piiri ületamiseks, mitte jõudlustehnika.

Sulgege kuulaja, kui olete valmis

Peatage SSH-sessioon, kui tunnelit enam ei vajata, ja kinnitage, et kohalik port on vabastatud. Unustatud edastus hoiab autenditud tee avatuna masinas, mida võidakse jagada.

Vaadake üle ka relay lubatud edastussihtkohad, sest lubav konfiguratsioon muudab iga kompromiteeritud konto üldiseks pöördepunktiks. Kirjutage port, relay ja sihtkoht koos üles, et järgmine inimene teaks, milleks edastus oli ja kas see on veel heaks kiidetud.