Hoe't in pleatslike SSH-trochstjoering in TCP-OpenVPN-sesje draacht

Hjir steapelje trije transporten, en elk hat syn eigen ramt. De VPN-lading reizget binnen in TLS-sesje, dat TLS-sesje reizget binnen in TCP-ferbining nei in loopback-poarte, en de bytes fan dy ferbining reizgje binnen SSH nei in relay-host, dy't de echte TCP-ferbining nei de VPN-harker iepenet. Neat oan de opstelling feroaret wat OpenVPN autentisearret, en neat derfan makket in UDP-harker berikber oer TCP. Lês de rest as in beskriuwing fan it bytpaad, net as in resept om in netwurk kontrôle te omgean.

Wat de pleatslike trochstjoering echt ferpleatst

De SSH-klant harket op in pleatslike poarte. As in pleatslik proses ferbynt, pakket de klant de bytes yn syn fersifere kanaal, en de tsjinnerkant iepenet in nije TCP-ferbining nei de bestimming neamd yn it trochstjoerfersyk.

Dy bestimming wurdt troch de relay oplost, net troch dyn masine, dêrom wurket in namme dy't allinnich yn it fiere netwurk bestiet noch hieltyd. It betsjut ek dat de relay de VPN-harker berikke moat en in weromrûte dêrhinne hawwe moat. In namme dy't op dyn laptop oplost, seit neat oer wat de relay sjen kin.

It starten fan it SSH-sesje bewiist allinnich dat de relay berikber en autentisearre is. It seit neat oer oft de folgjende harker oan is, oft in fjoermuorre tusken relay en harker de ferbining akseptearret, of oft de VPN dyn profyl akseptearret.

Rjochtsje de klant op de pleatslike harker

In ferklearre foarbyld: de relay kin in TCP-harker berikke op gw.internal.example:443, en in hege pleatslike poarte leit dat paad allinnich foar dizze masine bleat.

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

It OpenSSH-hânboek beskriuwt de pleatslike trochstjoering as it pleatslik akseptearjen fan TCP-ferbiningen en it iepenjen fan de folgjende ferbining fan 'e fiere kant. Bynt de harker oan loopback ynstee fan oan alle ynterfaces, want in trochstjoering dy't fan it netwurk berikber is, is in iepen relay mei dyn namme derop. In wildcardbining leit de poarte ek bleat foar eltse oare pleatslike akkount op in dielde masine.

Set dan de VPN-klant yn syn TCP-modus en rjochtsje him op 127.0.0.1:24011. As it profyl UDP brûkt, kin dit ûntwerp net helpe: de trochstjoering draacht in bytstream, en der is gjin datagrampaad trochhinne.

Hâld de twa autentikaasjes skieden

SSH autentisearret de relay-host. OpenVPN autentisearret noch altyd de VPN-pear, en de loopback-bestimming feroaret dy eask net. Sertifikaatkontrôles útsette om't de socket no nei localhost wiist, is de slimste koartsluting yn dit ûntwerp. It feroaret in transportopstelling yn in fertrouwensopstelling, en nimmen hat de twadde goedkard.

Hâld it fertrouwensanker fan it profyl, de tsjinnerrolkontrôle en de nammefifikaasje yntakt. As dyn klant de tsjinnernamme fergeliket mei it adres dat er bellei, kin loopback in eksplisite namme-ynstelling nedich wêze ynstee fan in útsette kontrôle, en de profyldokumintaasje is it plak om te befêstigjen hokker fjild fergelike wurdt.

Behannelje de relay as in twadde partij yn it fertrouwensferhaal: syn administraasje kin ferbiningsmetadata sjen en kin de trochstjoering omliede as de konfiguraasje feroare wurdt. De opstelling hat goedkarring nedich fan sawol de relay as de eigner fan de VPN-tsjinst, net allinnich fan wa't it hjoed nedich hat.

Bou gjin lus ûnder de tunnel

Sadree't de VPN rûtes ynstallearret, hat de SSH-ferbining dy't it draacht noch altyd in paad nei de relay nedich dat net troch de tunnel rint. As de standertrûte nei de VPN ferhuzet en de relay allinnich troch deselde tunnel berikber is, stoart it transport yn en de VPN giet mei. De flater liket op in fallen tunnel ynstee fan in rûtfout, en dêrom wurdt er ferkeard diagnostisearre.

De gebrûklike oplossing is in hostrûte nei it relay-adres fêstset oan 'e fysike ynterface foardat de tunnel omheech komt, plus in kontrôle dat de rûte in werferbining oerlibbet. Ferifiearje it mei in rûtesyktocht foar it relay-adres ynstee fan oan te nimmen dat de folchoarder goed wie.

Ferwachtsje ek dat dizze steapel stadiger en brekberder is as in direkte ferbining, want der binne no twa oardere transporten en noch in einpunt te ûnderhâlden. It is in manier om in netwurkskieding oer te stekken, gjin prestaasjetechyk.

Slút de harker as jo klear binne

Stop it SSH-sesje as de tunnel net mear nedich is, en befêstigje dat de pleatslike poarte frijjûn is. In fergetten trochstjoering hâldt in autentisearre paad iepen op in masine dy't dield wêze kin.

Besjoch ek de tastiene trochstjoerbestimmingen fan 'e relay, want in tastienende konfiguraasje feroaret elk kompromittearre akkount yn in algemien draaipunt. Skriuw de poarte, de relay en de bestimming byinoar, sadat de folgjende persoan witte kin wêr't de trochstjoering foar wie en oft dy noch goedkard is.