sshuttle in aghaidh VPN iomlán: cad a chlúdaíonn a mhodh i ndáiríre
Ní iompraíonn sshuttle ach an méid a thacaíonn a mhodh seoltaí: seiceáil clúdach TCP, DNS agus UDP, an phribhléid áitiúil a theastaíonn agus an cúntóir cianda ar dtús.
Roghnaítear sshuttle mar go n-oibríonn SSH cheana féin agus go bhfeictear an chripteagrafaíocht ar nós an aithnid, agus scipeann an réasúnaíocht sin an t-aon cheist a shocraíonn an bhfuil sé oiriúnach. Cé na paicéid a fhágann an meaisín, cé an cuntas a iompraíonn iad ar an taobh thall, agus cé mhéad pribhléid áitiúil a éilíonn an uirlis. Tá na freagraí sin trí cinn éagsúil de réir an mhodha seoltaí, mar sin is féidir le socrú a oibríonn d'aip amháin teip go ciúin don chéad cheann eile. Tosaíonn an mhionsonrú thíos leis an bprótacal a theastaíonn go fírinneach ón aip.
Tosaigh leis an bprótacal a theastaíonn ón aip
Braitheann tacaíocht prótacal in sshuttle 2.0 ar an modh a roghnaíonn tú. Láimhseálann modhanna NAT agus nft Linux TCP agus DNS, agus cuireann TPROXY UDP ginearálta leis. Tá a theorainneacha féin ag gach ardán agus modh, agus déanann macOS idircheapadh trí mheicníocht atá go hiomlán difriúil. Taifead an leagan suiteáilte, an modh roghnaithe agus na prótacail a theastaíonn ón aip sula roghnaíonn tú aon rud.
Mar sin ní chruthaíonn iarratas TCP a oibríonn mórán faoi aip UDP nó faoi gach cuardach DNS. Caitheann sshuttle le TCP mar shruthanna freisin seachas paicéid IP iomlána a thollú, mar sin ní aistrítear conclúid tréchur a fuarthas ar iasacht ó VPN traidisiúnta. Cuir an mheicníocht a ritheann tú i ndáiríre i gcomparáid leis an ualach atá agat i ndáiríre.
| Approach | What it carries | What it needs locally |
|---|---|---|
| SSH local forward | One explicitly named TCP destination | Nothing beyond the SSH client |
| sshuttle, nft or nat method | TCP and DNS to the routed prefixes | Root or sudo for firewall rules |
| sshuttle, tproxy method | TCP, DNS and general UDP | Root or sudo, and kernel support |
| IP VPN | Routed IP traffic in a tunnel | A client with the required privileges |
Cad a theastaíonn ón gcliant go háitiúil
Éilíonn an socrú cliaint atá doiciméadaithe root nó sudo, mar go suiteálann sé rialacha idircheaptha áitiúla seachas comhéadan tolláin a chruthú. Athraíonn an t-aon fhíric sin an scéal slándála: is féidir le próiseas a bhfuil an phribhléid sin aige trácht an mheaisín ar fad a atreorú, ní hamháin trácht aon aip amháin. Caith leis an bpribhléid mar chuid den dearadh agus ní mar mhionsonra suiteála.
Deimhnigh cé na rialacha a shuiteáil an uirlis agus go n-imíonn siad nuair a fhágann sé. Is féidir le seisiún a thuairteanna agus a fhágann rialacha idircheaptha ina dhiaidh trácht a chur i bpoll dubh i bhfad tar éis don oibreoir smaoineamh go bhfuil an nasc imithe, agus breathnaíonn an tsíomptóm ar nós cliseadh líonra seachas rialach a d'fhan.
sudo sshuttle --method nft --dns 172.19.4.0/24
nft list ruleset | grep -i sshuttle
ip routeIs é an chéad ordú cruth glaoch tipiciúil, leis an réimír a theastaíonn uait i ndáiríre. Taispeánann an dara ceann cad a shuiteáil an uirlis, agus deimhníonn an tríú ceann nár tháinig aon chomhéadan tolláin chun solais, rud is toradh ionchasach don dearadh seo.
Cad a ritheann an taobh thall
Is é an taobh thall cuntas SSH údaraithe móide timpeallacht chúntóra Python atá comhoiriúnach. Ní thugann logáil isteach a n-éiríonn léi faoi bhlaosc shrianta cead go huathoibríoch an cúntóir sin a rith, agus ní shroicheann cuntas ar féidir leis an gcúntóir a rith gach seirbhís sprice go huathoibríoch. Baineann an dá fhíric leis an iarratas rochtana seachas leis na nótaí fabhtcheartaithe.
Cosain fíorú céannacht an óstaigh agus fíordheimhniú an chuntais. Má ghlactar le heochair óstaigh anaithnid chun go n-oibreoidh an chéad nasc, baintear an seiceáil go bhfuil an taobh thall ar an meaisín a bhí beartaithe agat, agus tá sé sin níos tábhachtaí anseo ná in aistriú chun aon chríche amháin.
Teorannaigh an cuntas cianda do na seirbhísí a theastaíonn ón sreabhadh oibre, agus déan an raon sin a chaibidil leis na daoine a oibríonn an t-óstach. Tá siad mar chuid den chaidreamh iontaobhais, agus ní athraíonn aon socrú ar thaobh an chliaint sin.
Cá bhfuil an teorainn iontaobhais
Ní údaraíonn nasc API príobháideach a aistriú trí SSH gach oibríocht API. Tá feidhm fós ag TLS na haipe agus ag logáil isteach san aip, agus ní féidir leis an uirlis seirbhís gan fhíordheimhniú a dhéanamh slán. Ní hé an chéad léim eile ón óstach cianda an deighleog chosanta chéanna le cainéal SSH go huathoibríoch ach an oiread, mar leanann an dara nasc sin cibé beartas atá ag an óstach cianda.
Scríobh an teorainn mar aon abairt: téann trácht chuig na réimíreanna seo amach tríd an gcuntas seo ar an óstach sin. Má theastaíonn paragraf eisceachtaí ón abairt, tá an dearadh ag déanamh níos mó ná mar a mhaíonn a dhoiciméadú agus tá sé tuillte aige athbhreithniú eile sula sroicheann sé táirgeadh.
Cruthaigh é de réir prótacail, ansin roghnaigh an uirlis
Tástáil gach prótacal riachtanach le hiarratas neamhchiontach, lena n-áirítear cosán an réiteora agus na teaghlaigh seoladh a úsáideann an aip. Cuir dícheangal san áireamh sa tástáil, ionas go mbeidh iompar teip ceadaithe na haipe ina thoradh aitheanta seachas ina iontas le linn teagmhais. Ní insíonn seisiún a d'aistrigh i gceart agus é in airde aon rud faoi cad a tharlaíonn nuair a thiteann sé.
Do dhornán seirbhísí atá ainmnithe go sainráite, is fusa aistriú áitiúil nó gnáth a shealbhú agus a iniúchadh. Do thrácht aipe a oireann dá mhodh, cuireann sshuttle meánbhealach dlisteanach ar fáil. Nuair is é an riachtanas nascacht IP leathan, is é dearadh VPN an freagra macánta, agus leanann an rogha clúdach agus freagracht oibriúcháin seachas rangú na n-algartam criptithe.