Cén trácht aipe a iompraíonn aistriú SSH i ndáiríre?

Ceanglaíonn an teirminéal, tagann an leid chun solais, agus aontaíonn gach duine go n-oibríonn an rochtain SSH. Ansin ní féidir le cliant bunachar sonraí ar an ríomhaire glúine teacht ar an óstach príobháideach fós, agus cuirtear an milleán ar an seisiún. Ba bhlaoisce a tógadh, agus tá sí ar cheann de cheithre chomhéadan atá an-difriúil ar féidir le SSH a thairiscint. Ainmnigh an comhéadan ar dtús, ansin tástáil go n-úsáideann an feidhmchlár é i ndáiríre. Tá tábhacht leis an ord, mar teipeann ar gach comhéadan ar a bhealach féin.

Ainmnigh an comhéadan sula gcuireann tú aon rud i gcomparáid

Déanann lámhleabhar cliaint OpenSSH idirdhealú idir cheithre mheicníocht ar furasta iad a mheascadh. Forghníomhaítear blaoisce nó ordú cianda ar an óstach SSH. Osclaíonn aistriú áitiúil soicéad éisteachta ar an gcliant agus déanann sé an nasc leanúnach ón taobh cianda. Déanann aistriú cianda a mhalairt, ag éisteacht ar thaobh an fhreastalaí. Nochtann aistriú dinimiciúil críochphointe SOCKS do chláir a bhfuil a fhios acu conas é a úsáid.

• Blaoisce: ritheann an clár ar an meaisín cianda, ní éisteann aon rud go háitiúil.
• Aistriú áitiúil: tá port ag do ríomhaire glúine, déanann an t-óstach cianda an nasc amach.
• Aistriú cianda: tá port ag an taobh cianda, tagann an trácht ar ais i do threo.
• Dinimiciúil: seachfhreastalaí SOCKS ar an gcliant, nach n-úsáideann ach feidhmchláir a thuigeann seachfhreastalaí.

Ní shuiteálann aon cheann acu seo ród. Clár a thugann neamhaird ar shocruithe seachfhreastalaí, nó a labhraíonn UDP, nó a réitíonn ainmneacha leis féin, ní bhíonn tionchar ag seisiún SSH gníomhach air. Ní fabht in SSH é sin; is é scóip an chomhéadain a roghnaigh tú é.

Ní hionann aistriú áitiúil, cianda agus dinimiciúil ó thaobh cé a éisteann

Is é an t-idirdhealú a shocraíonn formhór na gcásanna cé leis an soicéad éisteachta. Le haistriú áitiúil éisteann an cliant agus déanann an fhoirceann i bhfad an ceann scríbe a dhiailiú, agus is é sin an fáth a réitítear seoladh an chinn scríbe ó thaobh an fhreastalaí de. Le haistriú cianda éisteann an freastalaí agus iompraítear an nasc ar ais chuig do thaobh, agus sin mar a nochtann tú seirbhís áitiúil gan í a fhoilsiú go díreach.

ssh -N -L 5432:db.internal.example:5432 [email protected]
ssh -N -D 1080 [email protected]
ss -ltnp | grep -E '5432|1080'

Ceanglaíonn an chéad ordú port 5432 ar an ríomhaire glúine agus aistríonn sé chuig an mbunachar sonraí é mar a fheictear ón daingean é. Cruthaíonn an dara ceann seachfhreastalaí SOCKS ar phort 1080. Deimhníonn an tríú ordú cé na próisis a éisteann i ndáiríre, agus sin an t-aon chruthúnas go bhfuil an t-aistriú ann seachas gur theip sé go ciúin ar choimhlint phort.

Tá rabhadh dá chuid féin tuillte ag aistriú dinimiciúil: ní chlúdaíonn sé ach feidhmchláir a urramaíonn SOCKS. Is féidir brabhsálaí a dhíriú air, is féidir a rá le huirlis líne ordaithe é a úsáid, ach ní féidir le tiománaí bunachar sonraí a bhfuil a chruach nasc féin aige é a dhéanamh de ghnáth. Is é an botún is coitianta sa réimse seo ar fad a cheapadh go n-úsáideann gach clár ar an meaisín an tollán anois.

Is é mód gléis tolláin an t-aon eisceacht líonra fíor

Tacaíonn OpenSSH freisin le haistriú gléis tolláin -w, a thugann comhéadan pointe go pointe ar aghaidh in ionad éisteora TCP. Is tollán líonra fíor é sin, agus cumraítear go toiliúil é, ní fo-iarsma é a bhaineann le blaoisce a oscailt.

sudo ssh -w 0:0 [email protected]
ip addr show tun0

Teastaíonn na huimhreacha comhéadain chuí atá ar fáil ag an dá fhoirceann, an chumraíocht cheart ar an bhfreastalaí agus dóthain pribhléide ar an gcliant chun an gléas a chruthú. Teastaíonn plean seoladh agus ródaithe freisin, mar ní iompraíonn comhéadan lom aon pholasaí faoi na cinn scríbe ar cheart dó a úsáid.

Fiú ansin, críochnaíonn an tollán ag an óstach i bhfad. Cibé cosaint a thug an t-iompar SSH, críochnaíonn sí ansin, agus is léim ar leith é an nasc leanúnach. Tá an fhoirm chéanna teorann ag geata VPN, agus is é sin an fáth ar cheart an chomparáid a bheith faoi raon feidhme agus faoi chríochnú seachas faoi cé acu uirlis is láidre. Réitíonn ainmniú na teorann sin os ard an díospóireacht faoi cé acu a «chriptíonn tollán gach rud», mar is léir nach gcryptíonn.

Tástáil go n-úsáideann d’fheidhmchlár an comhéadan a thóg tú

Déantar fíorú in aghaidh an fheidhmchláir, ní in aghaidh an tseisiúin. Cruthaíonn aistriú atá ag obair go bhfuil an port ceangailte agus gur féidir leis an bhfoirceann i bhfad diailiú; ní chruthaíonn sé gur nasc an clár a bhfuil cúram ort faoi tríd.

curl -sS --socks5-hostname 127.0.0.1:1080 -o /dev/null -w '%{http_code}\n' https://app.internal.example/health
psql "host=127.0.0.1 port=5432 dbname=app sslmode=require" -c 'select 1'

Seolann an chéad ordú iarratas trí chríochphointe SOCKS agus an t-óstainm á réiteach go cianda, agus cleachtann an dara ceann an port bunachar sonraí aistrithe agus TLS fós riachtanach. Rith na tástálacha céanna agus an t-aistriú stoptha chun a dheimhniú go dteipeann orthu, mar níor úsáid tástáil a n-éiríonn léi bealach amháin agus an bealach eile an tollán riamh.

Ansin déan comparáid le VPN ródaithe ach amháin sna gnéithe a bhfuil tábhacht leo: cé na cinn scríbe atá clúdaithe, cé na prótacail a oibríonn, cá gcríochnaíonn an chosaint agus cé a chaithfidh an rochtain a cheadú. Is féidir le haistriú do sheirbhís amháin a bheith ina fhreagra níos cúinge agus níos fearr, agus is é VPN an fhoirm cheart nuair a bhíonn an cosán líonra céanna ag teastáil ó go leor feidhmchlár. Ní thugann ceachtar acu gach rud atá inrochtana óna chríochphointe i bhfad.