SSH trí athsheoltóir srutha NGINX gan é a bhriseadh

Teipeann SSH poiblí trí athsheoltóir ag dhá theorainn neamhghaolmhara, agus de ghnáth nochtann deisiú ceann acu an ceann eile. Filleann an t-imeall freagra HTTP in ionad sruth a iompar, nó cuireann an t-athsheoltóir ceannteideal chun tosaigh nach n-aontaigh an cúltaca riamh lena léamh. Cinneann trí choinníoll cé acu díobh atá á fheiceáil agat: cad chuige a bhfuil an taifead poiblí ag síneadh go fírinneach, cad a sheolann bloc an tsrutha chun an uachtarshreabhadh, agus cén t-ainm a fhíoraíonn an cliant SSH. Oibrigh iad san ord sin.

Dhá theorainn, dhá chomhartha

Breathnaíonn teip ag an imeall mar leathanach stádais HTTP ag teacht in áit a mbeadh meirge SSH le bheith ann. Críochnaítear an nasc ar leibhéal TCP agus is éacs an chéad bheart atá ag freastalaí gréasáin. Míréir phrótacail atá ann, ní paicéad caillte. Insíonn sé duit freisin go bhfuil an t-imeall ag freastal rud éigin eile go toiliúil don ainm sin.

Breathnaíonn teip ag an uachtarshreabhadh ar bhealach difriúil. Sroicheann an nasc sshd, léann sshd bearta nach é an malartú aitheantais atá ag súil leis iad, agus faigheann an seisiún bás nó crochann sé gan eochair a thairiscint riamh.

Is furasta an dá rud a mheascadh mar go dtáirgeann an dá rud cliant a nascann agus a theipeann ansin. Is é an chéad fhreagra prótacail a fhaigheann tú a dhealaíonn iad, agus is ar an ábhar sin a bhaineann sé leis an ticéad.

Teachtaireacht is ea an ceannteideal PROXY, ní lasc í

I modúl an tsrutha, ordaíonn proxy_protocol on do NGINX ceannteideal prótacail PROXY a scríobh i dtreo an uachtarshreabhadh roimh an ualach. Ní chumasaíonn sé seachfhreastal TCP, agus níl aon bhaint aige le criptiú SSH. Nóta atá dírithe chuig an nglacadóir atá ann. Mura féidir leis an nglacadóir é a léamh, déanann sé smionagar de ag tús an tsrutha.

Caithfidh an tseirbhís ghlacach an ceannteideal sin a chaitheamh go toiliúil. Bíonn sshd normálta ag súil le malartú aitheantais SSH mar chéad bhearta an naisc, mar sin briseann réamhrá gan choinne an crann lámh ar bhealach a bhreathnaíonn cosúil le freastalaí truaillithe.

stream {
    server {
        listen 2222;
        proxy_pass 10.77.0.20:22;
    }
}

Is é an blúire sin iomlán athsheoltóra oibre do chúltaca atá inrochtana tríd an VPN. Ní thagann aon treoir PROXY chun solais mar nach labhraíonn an glacadóir an prótacal, agus is cinneadh é an easpa sin seachas dearmad.

Dealaigh an dá threo freisin. Ciallaíonn sé proxy_protocol a shocrú ar líne listen go bhfuil NGINX ag súil go seolfaidh a chliant féin an ceannteideal ar dtús; má chumasaítear é do ghnáthchliant SSH cruthaítear a mhalairt díreach den fhadhb a mbíonn daoine ag iarraidh a réiteach de ghnáth.

Cad a shroicheann ainm óstach poiblí i ndáiríre

Is fianaise ar an imeall é leathanach HTTP 400 i seisiún SSH. Labhraíonn rud éigin ar an gcosán HTTP, agus ní athróidh aon mhéid oibre eochrach nó cuntais ar an gcúltaca sin. Stop ag athrú an chúltaca go dtí go socraítear an t-imeall.

Iompraíonn gnáththaifead seachfhreastail Cloudflare a thrácht HTTP agus HTTPS tacaíochta ar phoirt shainithe. Ní chruthaíonn sé an seachfhreastal a chur ar siúl d'ainm óstach athsheoltóir TCP ginearálta, agus ní dhéanann SSH a bhogadh go port 443 HTTPS de.

Tá dhá threo indéanta ann. Is féidir le taifead DNS amháin síneadh chuig d'athsheoltóir TCP féin, rud a fhágann an cinneadh faoin nochtadh idir do lámha. Nó bain úsáid as táirge a dhoiciméadaíonn iompar SSH go sainráite, lena chumraíocht tionscnaimh, cliaint agus rochtana féin.

Cibé a roghnaíonn tú, tá bealach VPN chuig an gcúltaca, nasc ceadaithe agus cosán fillte fós ag teastáil ón athsheoltóir. Níl an bealach roghnach mar go n-oibríonn an taobh poiblí.

Coinnigh féiniúlacht SSH cobhsaí trí ailias

Is gnách le húsáideoirí leanúint de bheith ag clóscríobh a n-ainm óstach atá ann cheana. Is féidir le hailias cumraíochta SSH é sin a dhéanamh gan aon rud faoin athsheoltóir a athrú, agus coinníonn sé an t-athrú ar thaobh an chliaint mar ar cheart dó a bheith.

Host git.example.com
    HostName ssh-entry.example.net
    Port 2222
    User git
    HostKeyAlias git.example.com

Gan HostKeyAlias, cuardaíonn OpenSSH eochair an óstaigh faoin ainm a nascann sé leis, mar sin bogann an iontráil agus feiceann gach úsáideoir rabhadh faoi eochair athraithe ar an gcéad úsáid. Coinníonn socrú an ailias iontrálacha known-hosts cobhsaí agus an nasc fós ag dul chuig an athsheoltóir.

Ní bhaineann an t-ailias seo ach le cianstórtha atá bunaithe ar SSH. Ní fhéachann URL Git HTTPS air, agus caithfidh an ghnáth-URL chian teacht leis an iompar a d'ullmhaigh tú i ndáiríre.

Is é an rud nár cheart duit a dhéanamh ná fíorú eochrach an óstaigh a dhíchumasú chun an rabhadh a chur ar ceal. Baineann sé sin cosaint nach bhfuair deisiú an aistrithe riamh a iarraidh uirthi a bhaint, agus casann sé míshuaimhneas cosmaideach ina nochtadh fíor.

Fíoraigh gach léim ar leithligh

Tástáil an t-éisteoir poiblí leis féin, ansin an nasc athsheoltóra-go-cúltaca ó óstach an athsheoltóra, agus ansin amháin an cliant ó cheann go ceann. Eisíonn gach ceann de na trí thástáil sin ciseal difriúil. Má scipeálann tú ceann, ní féidir an dá thoradh atá fágtha a léirmhíniú. Trí bhreathnóireacht, trí áit a bhféadfadh teip maireachtáil.

Coinnigh an seoladh cinn scríbe, an port agus na chéad bhearta prótacail le gach toradh. Déanann an tríúr sin idirdhealú idir earráid imealla agus fadhb ródaithe VPN agus teip fhíordheimhnithe SSH, agus is é sin an difríocht idir deisiú agus buille faoi thuairim.

Ar deireadh, doiciméadaigh an nochtadh beartaithe. Is oscailt toiliúil sa imlíne phoiblí é athsheoltóir TCP a iompraíonn SSH chuig cúltaca príobháideach, agus tá sé tuillte aige an t-athbhreithniú céanna le haon tseirbhís theacht isteach eile.