Conas a iompraíonn seoladh áitiúil SSH seisiún TCP OpenVPN

Cruachtaítear trí iompar anseo, agus tá a fhráma féin ag gach ceann. Taistealaíonn ualach an VPN taobh istigh de sheisiún TLS, taistealaíonn an seisiún TLS sin taobh istigh de nasc TCP chuig port lúb ar ais, agus taistealaíonn beart an naisc sin taobh istigh de SSH chuig óstach athsheolach, a osclaíonn an fíornasc TCP chuig éisteoir an VPN. Ní athraíonn aon rud sa socrú an rud a OpenVPN fhíordheimhníonn, agus ní dhéanann aon rud ann éisteoir UDP inrochtana trí TCP. Léigh an chuid eile mar chur síos ar chonair na mbeart, ní mar oideas chun rialtán líonra a sheachaint.

Cad a ghluaiseann an seoladh áitiúil i ndáiríre

Éisteann an cliant SSH ar phort áitiúil. Nuair a nascann próiseas áitiúil, pacáistíonn an cliant na bearta ina chainéal criptithe, agus osclaíonn taobh an fhreastalaí nasc TCP nua chuig an gceann scríbe a ainmnítear san iarratas seolta.

Réitíonn an t-athsheolach an ceann scríbe sin, ní do mheaisín, agus is é sin an fáth a n-oibríonn ainm nach bhfuil ann ach taobh istigh den líonra iargúlta fós. Ciallaíonn sé freisin go gcaithfidh an t-athsheolach éisteoir an VPN a shroicheadh agus bealach fillte a bheith aige chuige. Ní deir ainm a réitítear ar do ríomhaire glúine aon rud faoin méid a fheiceann an t-athsheolach.

Ní chruthaíonn tosú an tseisiúin SSH ach go bhfuil an t-athsheolach inrochtana agus fíordheimhnithe. Ní deir sé aon rud faoi cé acu an bhfuil an chéad éisteoir eile suas, an nglacann balla dóiteáin idir an t-athsheolach agus an t-éisteoir leis an nasc, nó an nglacfaidh an VPN le do phróifíl.

Treoraigh an cliant chuig an éisteoir áitiúil

Sampla dearbhaithe: is féidir leis an athsheolach éisteoir TCP a shroicheadh ag gw.internal.example:443, agus nochtann port áitiúil ard an chonair sin don mheaisín seo amháin.

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

Lámhleabhar OpenSSH cur síos ar an seoladh áitiúil mar ghlacadh naisc TCP go háitiúil agus oscailt an chéad naisc eile ón taobh iargúlta. Ceangail an t-éisteoir le lúb ar ais seachas le gach comhéadan, mar is athsheolach oscailte le d'ainm air é seoladh atá inrochtana ón líonra. Nochtann ceangal comharthaíochta an port do gach cuntas áitiúil eile ar mheaisín roinnte freisin.

Ansin cuir an cliant VPN ina mhód TCP agus treoraigh chuig 127.0.0.1:24011 é. Má úsáideann an phróifíl UDP, ní féidir leis an dearadh seo cabhrú: iompraíonn an seoladh sruth beart, agus níl aon chonair datagram tríd.

Coinnigh an dá fhíordheimhniú ar leithligh

Fíordheimhníonn SSH an t-óstach athsheolach. Fíordheimhníonn OpenVPN an piara VPN fós, agus ní athraíonn an ceann scríbe lúb ar ais an riachtanas sin. Is é an t-aicearra is measa sa dearadh seo na seiceálacha teastais a mhúchadh toisc go bhfuil an soicéad ag díriú ar localhost anois. Athraíonn sé socrú iompair ina shocrú muiníne, agus níor fhaomh aon duine an dara ceann.

Coinnigh ancaire muiníne na próifíle, seiceáil ról an fhreastalaí agus fíorú an ainm slán. Má chomparánn do chliant ainm an fhreastalaí leis an seoladh ar chuir sé glao air, b'fhéidir go mbeadh socrú ainm follasach ag teastáil ón lúb ar ais seachas seiceáil mhúchta, agus is í doiciméadacht na próifíle an áit chun a dhearbhú cén réimse a chomparáintear.

Caith leis an athsheolach mar dhara páirtí sa scéal muiníne: is féidir lena riarthóir meiteashonraí naisc a fheiceáil agus is féidir leis an seoladh a atreorú má athraítear an chumraíocht. Teastaíonn faomhadh ón athsheolach agus ó úinéir na seirbhíse VPN araon ón socrú, ní hamháin ón duine a bhfuil sé de dhíth air inniu.

Ná tóg lúb faoin tollán

Nuair a shuiteálann an VPN bealaí, teastaíonn ón nasc SSH a iompraíonn é bealach fós chuig an athsheolach nach dtéann tríd an tollán. Má aistrítear an bealach réamhshocraithe chuig an VPN agus mura bhfuil an t-athsheolach inrochtana ach tríd an tollán céanna, tagann an t-iompar anuas agus téann an VPN leis. Breathnaíonn an teip mar thollán tite seachas mar earráid ródaithe, agus is é sin an fáth a ndéantar mí-dhiagnóis uirthi.

Is é an gnáthcheartú bealach óstach chuig seoladh an athsheolaigh atá ceangailte den chomhéadan fisiceach sula n-ardaítear an tollán, móide seiceáil go maireann an bealach athnascadh. Fíoraigh é le cuardach bealaigh do sheoladh an athsheolaigh seachas glacadh leis go raibh an t-ord ceart.

Bí ag súil freisin go mbeidh an chruach seo níos moille agus níos soghonta ná nasc díreach, mar tá dhá iompar ordaithe ann anois agus críochphointe eile le cothabháil. Is bealach é chun teorainn líonra a thrasnú, ní teicníc feidhmíochta.

Dún an t-éisteoir nuair a bheidh tú críochnaithe

Stop an seisiún SSH nuair nach bhfuil an tollán ag teastáil a thuilleadh, agus deimhnigh go bhfuil an port áitiúil scaoilte. Coinníonn seoladh dearmadta bealach fíordheimhnithe oscailte ar mheaisín a d'fhéadfadh a bheith roinnte.

Déan athbhreithniú freisin ar chinn scríbe seolta a cheadaítear ar an athsheolach, mar déanann cumraíocht cheadaitheach aon chuntas chomhréitithe a iompú ina phríomhphointe ginearálta. Taifead an port, an t-athsheolach agus an ceann scríbe le chéile, ionas go mbeidh a fhios ag an gcéad duine eile cad chuige a raibh an seoladh agus an bhfuil sé faofa fós.