SSH નું સ્થાનિક ફોરવર્ડ TCP OpenVPN સત્ર કેવી રીતે વહન કરે છે

અહીં ત્રણ ટ્રાન્સપોર્ટ સ્તરો એકઠા થાય છે, અને દરેકનું પોતાનું ફ્રેમિંગ છે। VPN પેલોડ TLS સત્રની અંદર જાય છે, તે TLS સત્ર લૂપબેક પોર્ટ તરફ TCP જોડાણની અંદર જાય છે, અને તે જોડાણના બાઇટ્સ SSHની અંદર રિલે હોસ્ટ તરફ જાય છે, જે VPN શ્રોતા તરફ ખરું TCP જોડાણ ખોલે છે। આ ગોઠવણમાં કંઈ પણ બદલતું નથી તે OpenVPN પ્રમાણિત કરે છે, અને તેમાંથી કંઈ UDP શ્રોતાને TCP દ્વારા પહોંચી શકાય તેવું બનાવતું નથી। બાકીનું બાઇટ માર્ગના વર્ણન તરીકે વાંચો, નેટવર્ક નિયંત્રણ ટાળવાની રેસીપી તરીકે નહીં।

સ્થાનિક ફોરવર્ડ ખરેખર શું ખસેડે છે

SSH ક્લાયન્ટ સ્થાનિક પોર્ટ પર સાંભળે છે। જ્યારે સ્થાનિક પ્રક્રિયા જોડાય છે, ક્લાયન્ટ બાઇટ્સને પોતાના એન્ક્રિપ્ટેડ ચેનલમાં પેક કરે છે, અને સર્વર બાજુ ફોરવર્ડ વિનંતીમાં નામ આપેલા ગંતવ્ય તરફ નવું TCP જોડાણ ખોલે છે।

તે ગંતવ્ય રિલે ઉકેલે છે, તમારી મશીન નહીં, તેથી ફક્ત દૂરના નેટવર્કની અંદર રહેલું નામ પણ હજી કામ કરે છે। તેનો અર્થ એ પણ છે કે રિલેએ VPN શ્રોતા સુધી પહોંચી શકવું જોઈએ અને ત્યાં પરત માર્ગ રાખવો જોઈએ। તમારા લેપટોપ પર ઉકેલાતું નામ રિલે શું જોઈ શકે તે વિશે કંઈ કહેતું નથી।

SSH સત્ર શરૂ કરવું ફક્ત એ સાબિત કરે છે કે રિલે પહોંચી શકાય તેવું અને પ્રમાણિત છે। તે એ વિશે કંઈ કહેતું નથી કે આગલું શ્રોતા ચાલુ છે કે નહીં, રિલે અને શ્રોતા વચ્ચેનો ફાયરવોલ જોડાણ સ્વીકારે છે કે નહીં, અથવા VPN તમારી પ્રોફાઇલ સ્વીકારશે કે નહીં।

ક્લાયન્ટને સ્થાનિક શ્રોતા તરફ દોરો

ઘોષિત ઉદાહરણ: રિલે gw.internal.example:443 પર TCP શ્રોતા સુધી પહોંચી શકે છે, અને ઊંચો સ્થાનિક પોર્ટ તે માર્ગ ફક્ત આ મશીનને ખુલ્લો કરે છે।

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

OpenSSH મેન્યુઅલ સ્થાનિક ફોરવર્ડનું વર્ણન સ્થાનિક રીતે TCP જોડાણો સ્વીકારવા અને દૂરની બાજુથી આગલું જોડાણ ખોલવા તરીકે કરે છે। શ્રોતાને બધા ઇન્ટરફેસને બદલે લૂપબેક સાથે બાંધો, કારણ કે નેટવર્કથી પહોંચી શકાય તેવું ફોરવર્ડ તમારા નામ સાથેનું ખુલ્લું રિલે છે। વાઇલ્ડકાર્ડ બાઇન્ડ શેર કરેલી મશીન પરના અન્ય કોઈપણ સ્થાનિક ખાતા માટે પણ પોર્ટ ખુલ્લો કરે છે।

પછી VPN ક્લાયન્ટને તેના TCP મોડમાં મૂકો અને 127.0.0.1:24011 તરફ દોરો। જો પ્રોફાઇલ UDP વાપરે છે, તો આ ડિઝાઇન મદદ કરી શકતી નથી: ફોરવર્ડ બાઇટ સ્ટ્રીમ વહન કરે છે, અને તેમાંથી ડેટાગ્રામનો માર્ગ નથી।

બે પ્રમાણીકરણ અલગ રાખો

SSH રિલે હોસ્ટને પ્રમાણિત કરે છે। OpenVPN હજી પણ VPN પીઅરને પ્રમાણિત કરે છે, અને લૂપબેક ગંતવ્ય તે શરત બદલતું નથી। સોકેટ હવે localhost તરફ ઇશારો કરે છે તેથી સર્ટિફિકેટ તપાસ બંધ કરવી આ ડિઝાઇનની સૌથી ખરાબ શોર્ટકટ છે। તે ટ્રાન્સપોર્ટ ગોઠવણને વિશ્વાસ ગોઠવણમાં ફેરવે છે, અને બીજી માટે કોઈએ સંમતિ આપી નથી।

પ્રોફાઇલનું વિશ્વાસ એન્કર, સર્વર-ભૂમિકા તપાસ અને નામ ચકાસણી અકબંધ રાખો। જો તમારો ક્લાયન્ટ સર્વરના નામને જે સરનામું ડાયલ કર્યું તેની સાથે સરખાવે છે, તો લૂપબેકને બંધ તપાસને બદલે સ્પષ્ટ નામ સેટિંગની જરૂર પડી શકે છે, અને કયું ક્ષેત્ર સરખાવાય છે તેની પુષ્ટિ કરવાનું સ્થળ પ્રોફાઇલ દસ્તાવેજીકરણ છે।

રિલેને વિશ્વાસની વાર્તામાં બીજા પક્ષ તરીકે ગણો: તેનો વ્યવસ્થાપક જોડાણ મેટાડેટા જોઈ શકે છે અને રૂપરેખાંકન બદલાય તો ફોરવર્ડ ફેરવી શકે છે। આ ગોઠવણને રિલે અને VPN સેવાના માલિક બંનેની મંજૂરી જોઈએ, ફક્ત આજે જેને જરૂર હોય તેની નહીં।

ટનલ નીચે લૂપ ન બનાવો

VPN રૂટ સ્થાપિત કરે પછી પણ તેને વહન કરતા SSH જોડાણને રિલે સુધીનો એવો માર્ગ જોઈએ જે ટનલમાંથી ન જાય। જો ડિફોલ્ટ રૂટ VPN તરફ જાય અને રિલે ફક્ત તે જ ટનલ દ્વારા પહોંચી શકાય, તો ટ્રાન્સપોર્ટ તૂટી પડે છે અને VPN પણ તેની સાથે જાય છે। નિષ્ફળતા રાઉટિંગ ભૂલ જેવી નહીં પણ પડી ગયેલી ટનલ જેવી દેખાય છે, તેથી તેનું ખોટું નિદાન થાય છે।

સામાન્ય ઉપાય છે ટનલ ચાલુ થાય તે પહેલાં ભૌતિક ઇન્ટરફેસ પર પિન કરેલો રિલે સરનામા તરફનો હોસ્ટ રૂટ, સાથે રૂટ ફરી જોડાણ પછી ટકે છે તેની તપાસ। ક્રમ સાચો હતો એમ ધારવાને બદલે રિલે સરનામા માટે રૂટ લુકઅપથી તેને ચકાસો।

એ પણ અપેક્ષા રાખો કે આ સ્ટેક સીધા જોડાણ કરતાં ધીમો અને નાજુક હશે, કારણ કે હવે બે ક્રમબદ્ધ ટ્રાન્સપોર્ટ અને જાળવવા માટે બીજું અંતિમ બિંદુ છે। તે નેટવર્ક સીમા ઓળંગવાની રીત છે, પ્રદર્શન તકનીક નહીં।

કામ પૂરું થાય ત્યારે શ્રોતા બંધ કરો

ટનલની જરૂર ન રહે ત્યારે SSH સત્ર બંધ કરો, અને સ્થાનિક પોર્ટ મુક્ત થયો છે તેની ખાતરી કરો। ભૂલી ગયેલું ફોરવર્ડ શેર કરી શકાય તેવી મશીન પર પ્રમાણિત માર્ગ ખુલ્લો રાખે છે।

રિલેના પરવાનગી આપેલા ફોરવર્ડ ગંતવ્યોની પણ સમીક્ષા કરો, કારણ કે ઉદાર રૂપરેખાંકન કોઈપણ સમાધાન થયેલા ખાતાને સામાન્ય કેન્દ્રમાં ફેરવે છે। પોર્ટ, રિલે અને ગંતવ્ય એકસાથે નોંધો, જેથી આગલી વ્યક્તિ જાણી શકે ફોરવર્ડ શેના માટે હતું અને હજી મંજૂર છે કે નહીં।