Suíomh HTTPS nach bhfuil ar fáil ach trí VPN a bhaint amach trí aistriú SSH

Tá rochtain VPN cheadaithe ag meaisín amháin cheana féin, tá seirbhís HTTPS phríobháideach amháin de dhíth ar an dara meaisín, agus is féidir le haistriú SSH áitiúil an bhearna sin a dhroicheadú gan tollán a thabhairt don dara meaisín. Iompraíonn an t-aistriú ceann scríbe TCP amháin seachas an líonra iomlán, agus is é an teorainn sin go díreach an pointe. Téigh tríd an gcúig chéim thíos in ord, mar teipeann ar gach ceann acu ar chúis dhifriúil agus ní féidir le céim níos déanaí bearna níos luaithe a shábháil. Má tá aon réamhchoinníoll ar iarraidh, ní réitíonn an dearadh seo é agus ní chabhróidh aon tiúnáil ordaithe.

Céim a haon: deimhnigh na trí réamhchoinníoll

Caithfidh trí rud a bheith fíor cheana féin sula mbíonn aon ordú tábhachtach. Teastaíonn cead uait chun an chéad mheaisín a úsáid mar óstach aistrithe, rochtain SSH oibre air, agus polasaí freastalaí a cheadaíonn an ceann scríbe beartaithe. D'fhéadfadh aistriú a bheith díchumasaithe ar chuntas SSH a cruthaíodh le haghaidh aistriú comhad, agus is féidir le freastalaí a cheadaíonn aistriú srian a chur fós ar na cinn scríbe atá inrochtana tríd. Fiafraigh sula ndéanann tú tástáil, mar is fadhb polasaí é stáisiún oibre comhghleacaí a úsáid mar phointe léime gan comhaontú, fiú nuair a oibríonn an t-ordú go glan.

Réitíonn dhá ordú leath theicniúil an liosta sin. Cruthaíonn an chéad cheann go n-oibríonn an cuntas agus an eochair gan leid idirghníomhach, agus priontálann an dara ceann an polasaí freastalaí éifeachtach seachas an sampla tráchtaithe sa chomhad cumraíochta.

ssh -o BatchMode=yes [email protected] 'echo ok'
sudo sshd -T | grep -E 'allowtcpforwarding|permitopen'

Céim a dó: ceangail port loopback agus coinnigh an seisiún beo

Ar an meaisín a ritheann an feidhmchlár cliaint, oscail aistriú áitiúil chuig an tseirbhís phríobháideach. Ceangail go sainráite le loopback é ionas nach bhfoilseofar ar an líonra áitiúil é, agus roghnaigh port ard nach bhfuil ag aon tseirbhís áitiúil cheana. Coinnigh an seisiún ag rith agus tú ag obair, mar má dhúnann tú é dúnfar an t-éisteoir. Déanann ExitOnForwardFailure imeacht láithreach as ceangal diúltaithe nó port áitithe seachas seisiún a fhanann suas gan aistriú, agus sin é an modh teipe a chaitheann an t-am is mó.

Déantar an nasc príobháideach ón óstach léime, mar sin caithfidh DNS, bealaí, polasaí VPN agus rochtain seirbhíse an óstaigh sin go léir oibriú. Ní chruthaíonn an seisiún SSH inrochtaineacht nach bhfuil ag an óstach léime, agus ní féidir leis bealach a dheisiú nár bhrúigh an VPN riamh. Deimhnigh an t-éisteoir san áit a bhfuil sé i ndáiríre seachas muinín a chur i dtost an ordaithe.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:9443:portal.lab.example:443 [email protected]
ss -ltn '( sport = :9443 )'

Céim a trí: coinnigh an t-ainm HTTPS nuair atá an soicéad áitiúil

Athraíonn brabhsáil chuig https://127.0.0.1:9443/ ainm freastalaí TLS agus údarás an fheidhmchláir. Ní dhéanfar deimhniú a eisíodh do portal.lab.example a bhailíochtú i gcoinne seoladh loopback, agus breathnaíonn an earráid a thagann as ar deimhniú briste seachas ar aicearra aistrithe. Le haghaidh tástála ar líne ordaithe, coinnigh an fíor-URL agus ná hathraigh ach ceann scríbe an tsoicéid. Sin a dhéanann --connect-to, agus déanann lámhleabhar curl doiciméadú ar an bhfoirm cheithre réimse a úsáidtear thíos.

curl --noproxy portal.lab.example --connect-to portal.lab.example:443:127.0.0.1:9443 https://portal.lab.example/

Fanann an t-ainm san URL, sa chroitheadh láimhe TLS agus sa cheannteideal Host, agus téann an nasc TCP chuig an éisteoir áitiúil. Coinníonn an rogha gan seachfhreastalaí an tástáil ar an aistriú seo seachas ligean do sheachfhreastalaí HTTP cumraithe í a idircheapadh, agus is é an deimhniú deimhnithe a choinneáil ar siúl a dhéanann an toradh bríoch.

Céim a ceathair: bíodh a fhios agat cad nach féidir le haon aistriú amháin a chlúdach

Clúdaíonn aon aistriú TCP amháin ceann scríbe port amháin. Teastaíonn a aistriú féin ó leathanach a atreoraíonn chuig dara hainm óstaigh, a lódálann sócmhainní ó óstach laistigh den líonra príobháideach nó a phostálann chuig port eile, agus teastaíonn an tseiceáil pholasaí chéanna ó gach ceann acu is a theastaíonn ón gcéad cheann. Cuireann sreafaí oibre brabhsálaí a gcuid riachtanas féin leis, mar caithfear a rá leis an mbrabhsálaí an fíor-ainm a sheoladh chuig an bport áitiúil trí chumraíocht seachfhreastalaí nó trí mhapáil áitiúil. Dá bhrí sin ní chruthaíonn tástáil rathúil ar líne ordaithe go n-éireoidh leis an mbrabhsálaí, cé go gcruthaíonn sí an bealach.

Ní thaistealaíonn UDP, fionnachtain SMB ná logáil isteach fearainn trí aistriú TCP ar chor ar bith. Más é an fíorriachtanas rochtain ghinearálta líonra, is é an dearadh seo an uirlis mhícheart agus is é geata rochtana cianda tacaithe an ceann ceart.

Céim a cúig: glan suas agus taifead é

Stop an seisiún nuair a bheidh an tástáil críochnaithe agus deimhnigh go bhfuil an t-éisteoir imithe. Má bhí an port roghnaithe áitithe cheana, roghnaigh port loopback eile nár úsáideadh agus nuashonraigh an URL, an t-ordú tástála agus an nóta le chéile, seachas seirbhís áitiúil neamhghaolmhar a stopadh chun an uimhir a shaoradh. Má fhágtar aistriú oscailte ar ríomhaire glúine, déantar diagnóis de sheirbhís neamhbhainistithe.

Scríobh síos an t-óstach léime, an ceann scríbe aistrithe, an port áitiúil agus cé a cheadaigh an socrú. Tá aistriú nach bhfuil ann ach i stair shell duine éigin aon athluchtú amháin ó imscrúdú arís, agus ní bheidh a fhios ag an gcéad duine eile cé acu de na trí réamhchoinníoll a seiceáladh cheana.