NetworkManager-ssh näitab ühendust, kuid midagi ei marsruudita
Indikaator tõestab ainult seda, et hallatav SSH-suhe on olemas. Kontrollige, kas pistikprogramm lõi tunneliseadme või edasisaatmiste komplekti, ja seejärel katsetage rakenduse teed.
Menüü näitab SSH-ühendust aktiivsena, hosti võti võeti vastu ja brauser ei jõua ikkagi kuhugi, kuhu ta pidi jõudma. See pole vastuolu, sest NetworkManager-ssh profiil võib samast hostist ja võtmest anda kaks täiesti erinevat tulemust: pakette kandev tunneliseade või edasisaatmiste komplekt, mida saavad kasutada ainult teatud rakendused. Indikaator teatab, et hallatav SSH-suhe on olemas. Ta ei teatagi kunagi, millise kahest te saite.
Kaks tulemust ühe menüükirje taga
Mõlemad režiimid autendivad ühtemoodi, ja just seetõttu aetakse need segi. Profiili täpselt samamoodi valimine samade volitustega võib jätta teile liidese, mille kaudu saab marsruudida, või kuulava sokli, millest tuleb ühte rakendust teavitada.
Alustage otsusega, millist tulemust ülesanne tegelikult vajab. Kogu alamsvõrgu kättesaadavuse nõue vajab seadet. Üks teenus kaugemas hostis vajab edasisaatmist, ja selle jaoks tunneli ehitamine tekitab tavaliselt rohkem marsruutimistööd, kui probleem vääris.
Mida iga režiim peab enne töötamist omama
Projekt dokumenteerib mõlemad režiimid, ja eeltingimused erinevad nii palju, et puuduv üks näeb välja nagu protokollitõrge, mitte nagu disainiotsus.
| Mode | What must exist | What still has to be true |
|---|---|---|
| Tunnel device | Compatible TUN/TAP arrangement on both ends, permission, addressing | A route policy that actually sends the intended prefixes into it |
| Forwarding only | A chosen SOCKS, local-forward or remote-forward listener | A permitted destination path on the far side |
Lugege parem veerg hoolikalt läbi, sest sinna lõpeb enamik selliseid pileteid. Isegi täiuslikult ehitatud tunneliseade katab ainult selle, mida marsruutimine sinna saadab, ja isegi täiuslik edasisaatmine aitab ainult neid rakendusi, kellele öeldi, et seda kasutada.
Näiline liides ei ole tunnel
Edasisaatmise režiimis dokumenteerib pistikprogramm näilise liidese, mis luuakse ühendusmudeli rahuldamiseks. See on olemas selleks, et halduril oleks midagi, mille külge olekut kinnitada. See ei kanna suvalisi rakendusepakette kaugvõrku, ja miski selle olemasolus ei tähenda, et IP-marsruutimine muutus.
Projekti täistunneli näited puudutavad OpenSSH tunneliseadme tuge, seega sõna tunnel siltidel kirjeldab võimekust, mitte teie tegelikku poliitikat. Kontrollige, mida kernel teeb, mitte seda, kuidas profiil on nimetatud.
nmcli connection show --active
ip -br link
ss -lntp | grep -E "1080|8080"Seejärel sobitage tulemus rakendusega. SOCKS-i mõistev programm tuleb seadistada puhverserverit kasutama. Kohaliku edasisaatmise tarbija tuleb suunata tema kuulajale. Kumbki ei avasta edasisaatmist ise, ja kumbagi ei aita roheliseks muutunud ühenduse indikaator.
Valmistage kaugpool ette, selle asemel et seda sundida
Tavaline SSH-konto saab autentida ilma igasuguse loata kaugtunneliseadet üles tõsta. Projekt dokumenteerib juurkasutaja õigusteta tee, kus administraator loob seadme selle kasutaja jaoks ette ja klient valib seejärel sobiva numbri.
Selline korraldus nõuab kooskõlastamist serveri tunnelipoliitikaga ja nendega, kellele kuulub adresseerimine kaugvõrgus. Seadme loomine ei anna iseenesest ressursimarsruute, edasisaatmise õigusi ega tagasiteed, ja mitte miski sellest ei tule sellepärast, et näidiskonfiguratsioon tundus veenev.
Mida te ei peaks tegema, on piiramatu edasisaatmise või kaugjuurdepääsu juurkonto lubamine, et näidis töötaks. Kui operaatorile kuulub kaugvõrgu seadistus, kasutage toetatud korraldust, et jätta need käsud sellele omanikule, ja vältige teist abilist, mis ühenduse katkedes vastuolulisi aadresse taastab.
Autentimiskontekst ja mida piletile kirjutada
Autentimisel on oma kontekst. Pistikprogramm otsib kasutajaseansiga seotud SSH-agenti ja nõuab, et sihthost oleks teada, seega ühes terminalis töötav võti ei muutu automaatselt halduri autentimisteele nähtavaks. Laske hosti võti kinnitatud protsessi kaudu kirja panna ja kontrollida, selle asemel et kontroll välja lülitada.
Toe jaoks kirjutage üles neli asja: pistikprogramm ja versioon, valitud režiim, kavandatud kaugidentiteet ning liides või kuulaja, mis oleks pidanud ilmuma. Seejärel katsetage rakenduse sisendpunkti otse. Ühendatud indikaator koos toimiva testiga on tõend; üksinda ühendatud indikaator on väide SSH kohta, mitte marsruutimise ega ressursiõiguse kohta, mida te püüdsite saada.