Tabhair seachfhreastalaí SOCKS do Pi cianda trí do chliant SSH

Cuireann seoladh dinimiciúil cianda an t-éisteoir SOCKS ar an Pi agus déanann sé an chéad nasc eile ó chonair VPN cheadaithe do ríomhaire glúine. Gan dara freastalaí SSH.

Glacann tú leis go gcaithfidh seachfhreastalaí SOCKS rith san áit a bhfuil rochtain líonra ann cheana. Is féidir le OpenSSH an t-éisteoir a chur áit iomlán eile. Osclaíonn seoladh dinimiciúil cianda an port SOCKS ar óstach cianda agus tosaíonn sé gach nasc ó do chliant SSH áitiúil, a iompraíonn conair VPN cheadaithe do ríomhaire glúine. Faigheann an Pi seachfhreastalaí srianta; ní fhaigheann sé do thollán ná do phribhléidí le hoidhreacht.

Féadann an t-éisteoir agus an taobh a dtosaíonn an nasc uaidh a bheith difriúil

Ritheann gnáth-ssh -D 1080 an t-éisteoir ar do mheaisín féin agus seolann sé na naisc amach as sin. Aisiompaíonn seoladh dinimiciúil cianda é sin: tagann an t-éisteoir chun solais ar an óstach cianda, agus osclaítear gach nasc a nglacann sé ón taobh áitiúil. lámhleabhar an chliaint OpenSSH doiciméadaíonn -R gan ceann scríbe seasta go díreach mar an socrú SOCKS4/5 seo.

Breathnaíonn ordú tacaíochta ón ríomhaire glúine mar seo, agus an cuntas, na hóstaigh agus an port á gcaitheamh mar shealbhóirí áite:

ssh -NT -S none -o ExitOnForwardFailure=yes \
  -o PermitRemoteOpen=app.corp.example:443 \
  -R 1080 [email protected]

Déanann trí mhionsonra obair úsáideach ansin. Coinníonn -S none an seisiún amach ó mháistir rialaithe roinnte, teipeann ExitOnForwardFailure go tapa in ionad tú a fhágáil le seisiún leathoscailte, agus teorannaíonn PermitRemoteOpen cad ar féidir leis an éisteoir cianda a bhaint amach. Úsáid cuntas Pi údaraithe agus fíoraigh eochair an óstaigh sula gcuireann tú aon rud díobh seo leis.

Cad a nochtaíonn an t-éisteoir cianda i ndáiríre

Seiceáil beartas seolta an fhreastalaí sula mbraitheann tú ar an éisteoir. Le GatewayPorts no fanann an seoladh cianda ceangailte le loopback, agus sin an nochtadh atá uait. Foilsíonn freastalaí atá cumraithe chun seoladh comhchiallach a fhorchur an port céanna ar gach comhéadan, rud a iompaíonn seachfhreastalaí pearsanta ina rud a bhfuil an líonra áitiúil in ann a bhaint amach.

Ní teorainn in aghaidh an úsáideora é loopback ach an oiread. Is féidir le próiseas eile ar an Pi nascadh le 127.0.0.1:1080 má tá an port ar eolas aige, mar sin tá cuntais áitiúla an Pi agus gach a ritheann air mar chuid de do dhearadh rochtana. Is cúis é sin chun an liosta cinn scríbe a choinneáil cúng, ní cúis chun an tseiceáil bheartais a scipeáil.

Coinnigh an ceann scríbe ceadaithe sainiúil don fheidhmchlár a bhfuil tú ag iarraidh a bhaint amach. Má chuirtear seoladh gan srian ina áit chun clár neamhghaolmhar a chur ag obair, leathnaítear an chonair i bhfad thar an bhfadhb ar thosaigh tú léi. Taifeadann liosta cinn scríbe freisin cad chuige a raibh an seisiún, rud a chabhraíonn le haon duine a dhéanfaidh iniúchadh air níos déanaí. Scríobh síos é in aice leis an gcuntas a d'úsáid tú.

Seol feidhmchlár amháin tríd an seachfhreastalaí

Is féidir le cliant ar an Pi a thuigeann seachfhreastalaí an t-iarratas a dhéanamh ansin. Tugann an réimír socks5h ainm an chinn scríbe don seachfhreastalaí, mar sin tarlaíonn an chuardach agus an nasc araon ar thaobh an ríomhaire ghlúine, agus tagann sé le ceann scríbe ainmnithe i PermitRemoteOpen:

curl --proxy socks5h://127.0.0.1:1080 \
  --noproxy '' https://app.corp.example/

Coinnigh gnáthbhallíocht an teastais agus fíordheimhniú an fheidhmchláir féin. Athraíonn an seachfhreastalaí cá ndéantar an nasc TCP; ní dhéanann sé seirbhís gan fíordheimhniú sábháilte, agus ní iompaíonn sé críochphointe féin-shínithe ina cheann iontaofa.

Tá a bhealach féin ag teastáil ón ríomhaire glúine fós, chomh maith le rochtain ar an réiteoir ar an bhfreastalaí SSH agus ar an bhfeidhmchlár araon. Caithfidh beartas VPN ceadaithe trácht a chliaint SSH a roghnú, agus féadann eisceacht tolláin scoilte an trácht sin a sheoladh ar chonair atá difriúil ón gceann a thástáil tú.

Cruthaigh an chonair agus dún í

Deimhnigh go bhfuil an t-éisteoir ann san áit a bhfuil súil agat leis agus nach bhfreagraíonn ach an ceann scríbe beartaithe:

$ ss -ltnp | grep 1080
LISTEN 0 128 127.0.0.1:1080 0.0.0.0:*
$ curl -sS -o /dev/null -w '%{http_code}\n' \
    --proxy socks5h://127.0.0.1:1080 https://app.corp.example/

Is féidir le ExitOnForwardFailure a chruthú gur bunaíodh an seoladh, agus fós ní féidir leis a dheimhniú go n-éiríonn le logáil isteach an fheidhmchláir le sruth. Tástáil an feidhmchlár, ní an port amháin. Is iondúil gur ciall le héisteoir a ghlacann agus a theipeann ar gach iarratas ina dhiaidh sin go bhfuil ainm an chinn scríbe nó conair an ríomhaire ghlúine mícheart, ní gur theip ar an tollán.

Ní iompraíonn an socrú seo ach TCP. Fanann UDP, ICMP agus cláir a dhéanann neamhaird de shocruithe seachfhreastalaí lasmuigh de, agus críochnaíonn an seoladh an nóiméad a chríochnaíonn an seisiún SSH. Stop an seisiún sin nuair a bheidh tú críochnaithe agus bain an socrú seachfhreastalaí a chuir tú leis an bhfeidhmchlár.

Le haghaidh rochtana buan, úsáid clárúchán tacaíochta úinéir an líonra nó geata bainistithe ina ionad. Is í an droch-uirlis é seachfhreastalaí droim ar ais chun srianta gléis nó acmhainne VPN a sheachaint; nuair a úsáidtear laistigh díobh, níl ann ach conair feidhmchláir údaraithe amháin le teorainneacha follasacha.

Ailt ghaolmhara