SSH ta hanyar relay ɗin rafi na NGINX ba tare da karya shi ba

SSH na jama'a ta hanyar relay yana gazawa a kan iyaka biyu da ba su da alaƙa, kuma gyara ɗaya yakan bayyana ɗayan. Ko gefen yana mayar da amsar HTTP maimakon ɗaukar rafi, ko relay ɗin yana sa kan da baƙin baya bai taɓa yarda ya karanta ba a gaba. Sharuɗɗa uku ne ke ƙayyade wanda kuke kallo: abin da rikodin jama'a yake nunawa da gaske, abin da sashin rafi yake aikawa zuwa sama, da wane suna ne abokin ciniki na SSH yake tabbatarwa. Yi aiki da su a wannan tsari.

Iyaka biyu, alamu biyu

Gazawar gefe tana kama da shafin matsayin HTTP da ya isa wurin da ya kamata banner ɗin SSH ya kasance. Haɗin yana cika a matakin TCP kuma bytes na farko rubutu ne na uwar gidan yanar gizo. Wannan rashin jituwar yarjejeniya ne, ba fakiti da ya ɓace ba. Hakanan yana gaya muku cewa gefen yana ba da wani abu dabam da gangan don wannan sunan.

Gazawar gefen sama tana kama da wani abu dabam. Haɗin yana isa sshd, sshd yana karanta bytes da ba musayar ganewa ba ce da yake tsammani, kuma zaman yana mutuwa ko rataye ba tare da ya taɓa bayar da maɓalli ba.

Ana iya rikita waɗannan biyun domin dukansu suna haifar da abokin ciniki da ya haɗa sannan ya gaza. Amsar yarjejeniya ta farko da kuka samu ita ce ke bambance su, shi ya sa ya kamata ta kasance cikin tikitin.

Kan PROXY saƙo ne, ba maɓalli ba

A cikin sashin rafi, proxy_protocol on yana umurtar NGINX ya rubuta kan yarjejeniyar PROXY zuwa gefen sama kafin lodin. Ba ya kunna proxy ɗin TCP, kuma ba shi da wata alaƙa da ɓoye bayanan SSH. Wannan bayanin kula ne da aka yi wa mai karɓa. Idan mai karɓa ba zai iya karanta shi ba, sai ya zama shara a farkon rafin.

Sabis ɗin da ke karɓa dole ya cinye wannan kan da gangan. sshd na yau da kullum yana tsammanin musayar ganewar SSH a matsayin bytes na farko a kan haɗin, don haka gabatarwar da ba a zata ba tana karya musafaha ta yadda zai yi kama da uwar gida da ta lalace.

stream {
    server {
        listen 2222;
        proxy_pass 10.77.0.20:22;
    }
}

Wannan yanki shi ne dukan relay mai aiki don baƙin baya da ake iya isa ta VPN. Babu wata umarnin PROXY da ta bayyana domin mai karɓa ba ya jin yarjejeniyar, kuma wannan rashi shawara ne ba mantuwa ba.

Ka raba hanyoyin biyu kuma. Sanya proxy_protocol a layin listen yana nufin NGINX yana tsammanin abokin cinikinsa na kansa ya fara aika kan; kunna shi ga abokin ciniki na SSH na yau da kullum yana haifar da kishiyar matsalar da mutane sukan yi ƙoƙarin warwarewa.

Abin da sunan uwar gida na jama'a yake isa da gaske

Shafin HTTP 400 a cikin zaman SSH shaida ce game da gefen. Wani abu a kan hanya yana jin HTTP, kuma duk wani aiki a kan maɓalli ko asusu a baƙin baya ba zai canza hakan ba. Ka daina canza baƙin baya har sai an daidaita gefen.

Rikodin proxy na yau da kullum na Cloudflare yana ɗaukar zirga-zirgar HTTP da HTTPS da ake tallafawa a kan tashoshi da aka ƙayyade. Kunna proxy don sunan uwar gida ba ya haifar da relay ɗin TCP na gama gari, kuma matsar da SSH zuwa tashar 443 ba ya mai da shi HTTPS.

Akwai hanyoyi biyu masu aiki. Rikodin DNS kawai zai iya nunawa zuwa relay ɗin TCP naku, wanda ke sanya shawarar fallasa a hannunku. A madadin, yi amfani da samfurin da ke rubuta jigilar SSH a fili, tare da nasa saitin asali, abokin ciniki da samun dama.

Ko wane ne kuka zaɓa, relay ɗin har yanzu yana buƙatar hanyar VPN zuwa baƙin baya, haɗin da aka yarda da shi da hanyar dawowa. Hanyar ba ta zaɓi ba ce domin gefen jama'a yana aiki.

Ka riƙe asalin SSH a tsaye ta hanyar laƙabi

Masu amfani yawanci suna son ci gaba da buga sunan uwar gidansu na yanzu. Laƙabin saitin SSH zai iya yin hakan ba tare da canza kome a kan relay ɗin ba, kuma yana ajiye canjin a gefen abokin ciniki inda ya kamata.

Host git.example.com
    HostName ssh-entry.example.net
    Port 2222
    User git
    HostKeyAlias git.example.com

Ba tare da HostKeyAlias ba, OpenSSH yana neman maɓallin uwar gida a ƙarƙashin sunan da yake haɗawa da shi, don haka shigarwar tana motsawa kuma kowane mai amfani yana ganin gargaɗin canjin maɓalli a farkon amfani. Sanya laƙabin yana riƙe shigarwar known-hosts a tsaye yayin da haɗin ke ci gaba da zuwa relay ɗin.

Wannan laƙabi yana aiki ne kawai ga ma'ajiyar nesa da suka dogara da SSH. URL ɗin Git na HTTPS ba ya duba ta, kuma URL ɗin nesa na yau da kullum dole ya dace da jigilar da kuka tanadar da gaske.

Abin da bai kamata ku yi ba shi ne kashe tabbatar da maɓallin uwar gida don gargaɗin ya ɓace. Hakan yana cire kariya da gyaran tura bai taɓa neman a taɓa shi ba, kuma yana mai da ɓacin rai na kamanni zuwa fallasa ta gaske.

Tabbatar da kowane tsalle daban

Gwada mai sauraron jama'a shi kaɗai, sannan haɗin relay zuwa baƙin baya daga uwar gidan relay, sannan kuma abokin ciniki daga ƙarshe zuwa ƙarshe. Kowanne daga waɗannan gwaje-gwaje uku yana cire wani mataki dabam. Tsallake ɗaya yana nufin sauran sakamakon biyu ba za a iya fassara su ba. Abubuwan lura uku, wurare uku da gazawa za ta iya zama.

Ka riƙe adireshin manufa, tashar da bytes na farko na yarjejeniya tare da kowane sakamako. Wannan ukun yana bambanta kuskuren gefe da matsalar tafiyar VPN da gazawar tabbatar da SSH, kuma shi ne bambanci tsakanin gyara da hasashe.

A ƙarshe, rubuta fallasar da aka yi niyya. Relay ɗin TCP da ke ɗaukar SSH zuwa baƙin baya na sirri buɗe ƙofa ne da gangan a cikin kewayen jama'a, kuma ya cancanci bita ɗaya da duk wata hidima mai shigowa.