SSH droim ar ais do ghléas amháin: éisteoir loopback nó VPN ródaithe?

Tá do ghléas taobh thiar de NAT an oibreora, is féidir leis naisc amach a oscailt, agus ritheann sé freastalaí SSH nach féidir le haon duine teacht air. De ghnáth cuirtear an t-iarratas a thagann in iúl mar "tabhair VPN dó", rud atá ina fhreagra amháin i measc roinnt. Sula nglacfaidh tú leis, socraigh an bhfuil aon phort TCP riaracháin amháin uait nó conair ródaithe chuig fo-líonra iomlán, mar is tionscadail éagsúla iad le nochtadh éagsúil.

Freagraíonn tollán droim ar ais go maith don leagan cúng. Scairteann an gléas ar do mhol, iarrann sé ar an mbol a bheith ag éisteacht ar phort loopback, agus seolann sé an port sin ar ais chuig a sheirbhís SSH féin. Ansin sroicheann riarthóirí an t-éisteoir tríd an mbol, ní tríd an idirlíon poiblí.

Trí choinníoll a réitíonn an rogha

Scríobh síos iad sula ndéanfar aon chumrú. Is iad an teorainn idir iontráil bhainistíochta teoranta agus síneadh líonra, agus is é a meascadh an bealach a n-athraíonn tollán de chúig líne ina líonra cothrom gan úinéir.

Is é an tríú ró an ceann a mbíonn daoine ag argóint faoi. Ní chuireann tollán chuig port SSH gléis a chomharsana ar do líonra, agus níor cheart é a dhéanamh cuma go ndéanann sé amhlaidh trí shlabhra de thuilleadh seoltaí ar aghaidh. Más é an LAN an riachtanas i ndáiríre, abair é agus dear an LAN ina ionad.

Taobh an mhoil: cuntas athsheolta teoranta

Tabhair dá ghléas a chuntas athsheolta féin le fíordheimhniú eochair phoiblí agus gan seisiún idirghníomhach. Match bloc atá scóipeáilte chuig an gcuntas sin a choinníonn an cead beag, agus fanann an eochair phríobháideach ar an ngléas ina mbaineann sí.

Match User relay-dev-7
    AuthenticationMethods publickey
    PubkeyAuthentication yes
    AllowTcpForwarding remote
    PermitListen 127.0.0.1:21022
    GatewayPorts no
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

MaxSessions 0 is í an líne spéisiúil. Diúltaíonn sí do sheisiúin bhlaoisc agus fochórais agus ligeann sí don seoladh ar aghaidh a theastaíonn ón ngléas fós, mar sin ní féidir eochair ghoidte a iompú ina hiontráil idirghníomhach. PermitListen socraíonn sí seoladh agus port an éisteora ar thaobh an mhoil, agus GatewayPorts no coinníonn sí ar loopback é seachas é a oscailt don líonra a bhfuil an mol air.

Tástáil an chumraíocht éifeachtach sula n-athluchtaítear, agus coinnigh an dara seisiún oscailte agus tú á dhéanamh. Match bloc a chuireann i bhfeidhm go timpisteach ar gach duine, nó clóscríobh in ainm rogha, is é an bealach clasaiceach chun tú féin a chur faoi ghlas amach as an mbosca a bhfuil tú ag cruashadh. Dumpáil an chumraíocht atá ag rith agus léigh na roghanna ar ais seachas muinín a chur sa chomhad a scríobh tú díreach. Tabhair faoi deara go bhfuil tacaíocht roghanna difriúil idir builds, mar sin féadfaidh freastalaí níos sine neamhaird a dhéanamh de líne a nglactar léi i bhfreastalaí níos nuaí.

Taobh an ghléis: seoladh ar aghaidh a theipeann go hard

Osclaíonn an gléas an nasc agus iarrann an t-éisteoir. Tugann an dá sheoladh san argóint -R ciallaíonn rudaí éagsúla, agus is é a léamh ó chlé go deas an bealach is tapúla chun cuimhneamh cé acu ceann.

ssh -NT \
    -o ExitOnForwardFailure=yes \
    -o ServerAliveInterval=30 \
    -o ServerAliveCountMax=3 \
    -R 127.0.0.1:21022:127.0.0.1:22 \
    [email protected]

Is é an péire clé an áit ar cheart don mhol éisteacht. Is é an péire deas an rud a nascann an gléas leis nuair a thagann iarratas, réitithe ó thaobh an ghléis féin. Má mhalartaítear iad cruthaítear tollán a théann suas go glan agus a sheolann ar aghaidh chuig an áit mhícheart, rud atá níos measa ná teip.

ExitOnForwardFailure=yes cuireann sé ar an ordú éirí as nuair nach féidir an t-éisteoir iarrtha a bhunú, mar sin insíonn lúb atosaithe an fhírinne duit seachas seisiún leath-oibre a fhágáil. Ní deir sé rud ar bith faoi cé acu an bhfuil an tseirbhís SSH áitiúil sláintiúil níos déanaí, mar sin nasc é le bainisteoir próisis agus le fíor-thástáil naisc ó am go chéile.

Ná cuir seoladh éisteachta loopback in ionad comhartha fiáin riamh chun léim bhreise a sheachaint. Is é an t-aon athrú sin an difríocht idir conair bhainistíochta agus port a shroichtear go poiblí, agus tarlaíonn sé de ghnáth le linn dífhabhtaithe agus fanann sé ansin. Mura féidir le comhghleacaí an port a shroicheadh tríd an mbol, deisigh cumraíocht na léime seachas an ceangal a leathnú. Is é loopback an argóint slándála iomlán don dearadh seo.

Rochtain riarthóra tríd an mbol

Is féidir le riarthóir a bhfuil gnáthchuntas aige ar an mbol léim tríd chuig an bport a seoladh ar aghaidh. Ní úsáidtear cuntas athsheolta chuige seo, agus sin é go beacht an pointe a bhaineann le iad a choinneáil scartha.

ssh -J [email protected] -o HostKeyAlias=device-7 \
    -p 21022 [email protected]

Fíoraigh eochair ósta an ghléis faoin ailias a roghnaigh tú, mar is í an eochair sin a aithníonn an gléas ag deireadh an tslabhra agus ní dhéanann an tollán ach iompar. Déanann an t-iontráil ó cheann go ceann fíordheimhniú ar an dá cheann fós; ní dhéanann tollán a chríochnaíonn ar mhol roinnte conair iontaofa de as féin.

Glac úinéireacht ar an saolré

Rith ordú an ghléis faoi bhainisteoir próisis le heiseamláir ghníomhach amháin go beacht agus le polasaí atosaithe a roghnaigh tú go toiliúil. Aimsíonn na roghanna keepalive piaraí marbh; ní athbheoíonn siad próiseas a d'fhág.

Ansin scríobh an nós imeachta díchoimisiúnaithe. Faigheann gach gléas a éisteoir féin agus a eochair féin, mar sin ciallaíonn díchoimisiúnú an cuntas sin a chúlghairm agus an eochair sin a bhaint, ní rún a rothlú atá comhroinnte ag an bhflít iomlán.

Ar deireadh, cuimhnigh cad a thugann loopback duit. Cuireann sé teorainn le nochtadh líonra agus ní dhéanann sé aon rud faoi úsáideoirí áitiúla eile ar mhol roinnte, mar sin caithfidh polasaí rochtana an mhoil féin a bheith ceart fós. Tagairt sshd_config déanann sé doiciméadú ar gach ceann de na roghanna a úsáideadh thuas, agus is fiú na hailt seolta ar aghaidh a léamh go hiomlán sula leathnaítear aon cheann acu.