SSH mai juyawa don na'ura ɗaya: mai sauraron loopback ko VPN mai hanya?

Na'urarka tana bayan NAT na mai ba da sabis, tana iya buɗe haɗin kai zuwa waje, kuma tana gudanar da uwar garken SSH da babu wanda zai isa gare ta. Buƙatar da ke zuwa yawanci ana faɗinta a matsayin "ba ta VPN", wanda amsa ɗaya ne cikin da yawa. Kafin ka karɓe ta, yanke shawara ko kana bukatar tashar TCP gudanarwa ɗaya ko hanya mai hanya zuwa dukan ƙaramin cibiyar sadarwa, domin waɗannan ayyuka ne dabam dabam da bayyanar dabam.

Ramin juyawa yana amsa ƙaramin sigar da kyau. Na'urar tana kira zuwa hub ɗinka, tana neman hub ɗin ya saurara a tashar loopback, sannan ta tura wannan tashar baya zuwa sabis ɗinta na SSH. Bayan haka masu gudanarwa suna isa mai sauraro ta hub ɗin, ba ta hanyar intanet na jama'a ba.

Sharuɗɗa uku da ke yanke zaɓin

Rubuta su kafin kowane tsari. Su ne iyaka tsakanin ƙofar gudanarwa mai iyaka da faɗaɗa cibiyar sadarwa, kuma haɗa su ne hanyar da ramin layi biyar ke zama cibiyar sadarwa lebur marar mai shi.

Layi na uku shi ne abin da mutane ke jayayya a kansa. Rami zuwa tashar SSH ta na'ura ba ya sanya maƙwabtanta a cibiyar sadarwarka, kuma bai kamata a sa ya zama kamar yana yin haka ta jerin ƙarin turawa ba. Idan buƙatar ita ce LAN da gaske, faɗi haka ka tsara ita a maimakon.

Bangaren hub: asusun relay mai iyaka

Ba kowace na'ura asusun relay nata tare da tabbatarwa da maɓallin jama'a kuma ba tare da zaman hulɗa ba. Match toshe da aka iyakance ga wannan asusun yana riƙe izini kaɗan, kuma maɓallin sirri yana zama a na'urar inda ya dace.

Match User relay-dev-7
    AuthenticationMethods publickey
    PubkeyAuthentication yes
    AllowTcpForwarding remote
    PermitListen 127.0.0.1:21022
    GatewayPorts no
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

MaxSessions 0 shi ne layi mai ban sha'awa. Yana ƙin zaman harsashi da ƙananan tsari yayin da har yanzu yana ba da izinin turawa da na'urar ke buƙata, don haka ba za a iya juya sata maɓalli zuwa shiga mai hulɗa ba. PermitListen yana ƙulla adireshin da tashar mai sauraro a bangaren hub, kuma GatewayPorts no yana riƙe shi a loopback maimakon buɗe shi ga cibiyar sadarwar da hub ɗin yake.

Gwada tsarin da ke aiki kafin sake lodawa, kuma ka riƙe zaman biyu a buɗe yayin da kake yin haka. Match toshe da ke aiki ga kowa bisa kuskure, ko kuskuren rubutu a sunan zaɓi, ita ce hanyar gargajiya ta kulle kanka daga akwatin da kake taurarewa. Fitar da tsarin da ke gudana kuma karanta zaɓuɓɓukan baya maimakon amincewa da fayil ɗin da ka rubuta yanzu. Lura cewa goyon bayan zaɓi ya bambanta tsakanin ginawa, don haka layin da sabon uwar garke ya karɓa zai iya yin watsi da tsoho kawai.

Bangaren na'ura: turawa da ke kasawa da ƙarfi

Na'urar tana buɗe haɗin kuma tana neman mai sauraro. Adireshi biyu a cikin hujja -R suna nufin abubuwa dabam, kuma karanta su daga hagu zuwa dama ita ce hanya mafi sauri ta tuna wanne ne wanne.

ssh -NT \
    -o ExitOnForwardFailure=yes \
    -o ServerAliveInterval=30 \
    -o ServerAliveCountMax=3 \
    -R 127.0.0.1:21022:127.0.0.1:22 \
    [email protected]

Biyun hagu shi ne inda hub ɗin ya kamata ya saurara. Biyun dama shi ne abin da na'urar ke haɗawa da shi lokacin da buƙata ta zo, an warware daga bangaren na'urar da kanta. Musanya su yana haifar da rami da ke tashi lafiya kuma yana turawa zuwa wuri mara kyau, wanda ya fi gazawa muni.

ExitOnForwardFailure=yes yana sa umarnin ya fita lokacin da ba za a iya kafa mai saurarar da aka nema ba, don haka maimaita sake kunnawa yana gaya maka gaskiya maimakon barin zaman da ke aiki rabi. Ba ya ce komai game da ko sabis ɗin SSH na gida yana da lafiya daga baya, don haka haɗa shi da mai sarrafa tsari da gwajin haɗi na gaske lokaci-lokaci.

Kada ka taɓa maye gurbin adireshin sauraron loopback da alamar daji don guje wa wani tsalle. Wannan canji ɗaya ne bambanci tsakanin hanyar gudanarwa da tashar da jama'a za su iya isa, kuma yawanci yana faruwa yayin gyara kuskure sannan ya zauna. Idan abokin aiki ba zai iya isa tashar ta hub ɗin ba, gyara tsarin tsalle maimakon faɗaɗa ɗaurin. Loopback shi ne dukan hujjar tsaro ta wannan ƙira.

Shigar mai gudanarwa ta hub ɗin

Mai gudanarwa da ke da talakawan asusu a hub ɗin zai iya tsalle ta cikinsa zuwa tashar da aka tura. Ba a amfani da asusun relay don wannan, kuma wannan shi ne ainihin dalilin raba su.

ssh -J [email protected] -o HostKeyAlias=device-7 \
    -p 21022 [email protected]

Tabbatar da maɓallin baƙon na'urar a ƙarƙashin sunan da ka zaɓa, domin wannan maɓalli ne ke gane na'urar a ƙarshen jerin kuma ramin jigila ne kawai. Shiga daga ƙarshe zuwa ƙarshe har yanzu yana tabbatar da ɓangarorin biyu; rami da ya ƙare a hub ɗin da aka raba ba ya mai da shi hanyar amincewa da kansa.

Mallaki zagayowar rayuwa

Gudanar da umarnin na'urar a ƙarƙashin mai sarrafa tsari da misali ɗaya mai aiki daidai da manufar sake kunnawa da ka zaɓa da gangan. Zaɓuɓɓukan keepalive suna gano abokin da ya mutu; ba sa tayar da tsarin da ya fita.

Sannan rubuta hanyar cirewa. Kowace na'ura tana da mai sauraronta da maɓallinta, don haka cirewa yana nufin soke wannan asusu da cire wannan maɓalli, ba juya sirrin da dukan rundunar ke rabawa ba.

A ƙarshe, tuna abin da loopback ke ba ka. Yana iyakance bayyanar cibiyar sadarwa kuma ba ya yin komai game da sauran masu amfani na gida a hub ɗin da aka raba, don haka manufar shiga ta hub ɗin kanta dole ne ta kasance daidai. Bayanin sshd_config yana rubuta kowane ɗaya daga cikin zaɓuɓɓukan da aka yi amfani da su a sama, kuma ya kamata a karanta sassan turawa gaba ɗaya kafin faɗaɗa kowane ɗaya daga cikinsu.