Nola eramaten du SSH tokiko birbidalketa batek TCP OpenVPN saio bat

Hemen hiru garraiatze geruzatzen dira, eta bakoitzak bere markoa du. VPN karga TLS saio baten barruan doa, TLS saio hori TCP konexio baten barruan doa loopback ataka batera, eta konexio horren byteak SSH barruan doaz errele ostalari batera, eta harek VPN entzulearekiko benetako TCP konexioa irekitzen du. Antolamendu honek ez du ukitzen OpenVPN autentifikatzen duena, eta ez du UDP entzule bat TCP bidez irisgarri egiten. Irakurri gainerakoa byteen bidearen deskribapen gisa, sare kontrol bat saihesteko errezeta gisa baino.

Zer mugitzen duen tokiko birbidalketak benetan

SSH bezeroa tokiko ataka batean entzuten dago. Tokiko prozesu bat konektatzen denean, bezeroak byteak bere kanal zifratuan paketatzen ditu, eta zerbitzari aldeak TCP konexio berri bat irekitzen du birbidalketa eskaeran izendatutako helmugara.

Helmuga hori erreleak ebazten du, ez zure makinak, eta horregatik urruneko sarearen barruan soilik existitzen den izen batek oraindik funtzionatzen du. Horrek esan nahi du erreleak VPN entzulea iritsi eta hara itzultzeko bidea izan behar duela. Zure eramangarrian ebazten den izenak ez du ezer esaten erreleak zer ikus dezakeen.

SSH saioa abiatzeak errelea irisgarri eta autentifikatuta dagoela frogatzen du soilik. Ez du ezer esaten hurrengo entzulea martxan dagoen, errelearen eta entzulearen arteko suebakiak konexioa onartzen duen edo VPNak zure profila onartuko duen.

Zuzendu bezeroa tokiko entzulera

Adierazitako adibide bat: erreleak gw.internal.example:443 helbideko TCP entzule bat irits dezake, eta tokiko ataka altu batek bide hori makina honi soilik erakusten dio.

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

OpenSSH eskuliburuak tokiko birbidalketa TCP konexioak tokian bertan onartu eta hurrengo konexioa urruneko aldetik irekitze gisa deskribatzen du. Lotu entzulea loopbackari, ez interfaze guztiei, zeren saretik irisgarria den birbidalketa irekitako errele bat baita zure izenarekin. Komodin bidezko loturak ataka ere erakusten die makina partekatu bateko beste edozein tokiko konturi.

Ondoren jarri VPN bezeroa TCP moduan eta zuzendu 127.0.0.1:24011 helbidera. Profilak UDP erabiltzen badu, diseinu honek ezin du lagundu: birbidalketak byte korronte bat darama, eta ez dago datagramen biderik haren bidez.

Eduki bi autentifikazioak bereizita

SSHak errele ostalaria autentifikatzen du. OpenVPNak oraindik VPN parekidea autentifikatzen du, eta loopback helmugak ez du baldintza hori aldatzen. Ziurtagiriaren egiaztapenak desgaitzea socketak orain localhost-era seinalatzen duelako da diseinu honetako lasterbide okerrena. Garraiatze antolamendua konfiantza antolamendu bihurtzen du, eta inork ez zuen bigarrena onartu.

Mantendu ukitu gabe profilaren konfiantza aingura, zerbitzari roleren egiaztapena eta izenaren egiaztapena. Zure bezeroak zerbitzariaren izena deitu zuen helbidearekin alderatzen badu, loopbackak izen ezarpen esplizitua behar izan dezake egiaztapen desgaituaren ordez, eta profilaren dokumentazioa da zein eremu alderatzen den baieztatzeko tokia.

Tratatu errelea konfiantza istorioaren bigarren alderditzat: haren administratzaileak konexio metadatuak ikus ditzake eta birbidalketa berbidera dezake konfigurazioa aldatzen bada. Antolamenduak errelearen eta VPN zerbitzuaren jabearen onespena behar du, ez bakarrik gaur behar duenarena.

Ez eraiki begizta bat tunelaren azpian

VPNak ibilbideak instalatzen dituenean, hura daraman SSH konexioak oraindik errelerako bidea behar du, tunelatik igarotzen ez dena. Ibilbide lehenetsia VPNra aldatzen bada eta errelea tunel beretik soilik irisgarria bada, garraiatzeak behera egiten du eta VPNa berarekin doa. Hutsegitea tunel erori baten itxura du, ez ibilbide errore baten itxura, eta horregatik diagnostikatzen da gaizki.

Ohiko konponbidea errele helbiderako host ibilbide bat da, tunela altxatu aurretik interfaze fisikora finkatua, gehi ibilbideak berrekonexioa gainditzen duen egiaztapena. Egiaztatu errele helbiderako ibilbide bilaketa batekin, ordena zuzena zela suposatu beharrean.

Espero ezazu ere pila hau zuzeneko konexio bat baino motelagoa eta hauskorragoa izango dela, orain bi garraiatze ordenatu eta mantentzeko beste mutur bat daudelako. Sare muga bat zeharkatzeko modua da, ez errendimendu teknika.

Itxi entzulea amaitu duzunean

Gelditu SSH saioa tunela beharrezkoa ez denean, eta berretsi tokiko ataka askatu dela. Ahaztutako birbidalketa batek bide autentifikatua irekita mantentzen du partekatua izan daitekeen makina batean.

Berrikusi ere errelearen baimendutako birbidalketa helmugak, konfigurazio permisibo batek konprometitutako edozein kontu giltzarri orokor bihurtzen baitu. Idatzi ataka, errelea eta helmuga elkarrekin, hurrengo pertsonak jakin dezan zertarako zen birbidalketa eta oraindik onartuta dagoen.