Gefðu fjarlægri Pi SOCKS-milliþjón í gegnum SSH-biðlara þinn

Þú gerir ráð fyrir að SOCKS-milliþjónn verði að keyra þar sem nettengingin er þegar til staðar. OpenSSH getur sett hlustarann allt annars staðar. Fjarlæg kraftvirk framsending opnar SOCKS-gáttina á fjarlægum vélarhús og byrjar hverja tengingu frá staðbundnum SSH-biðlaranum þínum, sem ber samþykkta VPN-leið fartölvunnar þinnar. Pi-inn fær takmarkaðan milliþjón; hann er ekki arfberi af göngunum þínum eða réttindum.

Hlustarinn og hliðin sem tengingin kemur frá geta verið ólík

Venjulegt ssh -D 1080 keyrir hlustarann á þinni eigin vél og sendir tengingar þaðan. Fjarlæg kraftvirk framsending snýr því við: hlustarinn birtist á fjarlægu vélinni og hver tenging sem hann tekur við er opnuð frá staðbundinni hlið. handbók OpenSSH-biðlarans skjalfestir -R án fasts ákvörðunarstaðar sem nákvæmlega þetta SOCKS4/5-fyrirkomulag.

Studd skipun frá fartölvunni lítur svona út, þar sem reikningurinn, vélarnar og gáttin eru meðhöndluð sem staðgenglar:

ssh -NT -S none -o ExitOnForwardFailure=yes \
  -o PermitRemoteOpen=app.corp.example:443 \
  -R 1080 [email protected]

Þrír smáatriðir vinna þar gagnlegt verk. -S none heldur lotunni í burtu frá sameiginlegum stýrimiðstöð, ExitOnForwardFailure bregst fljótt og skilur þig ekki eftir með hálfopna lotu, og PermitRemoteOpen takmarkar hvað fjarlægi hlustarinn getur náð til. Notaðu heimilaðan Pi-reikning og staðfestu vélarlykilinn áður en þú bætir einhverju af þessu við.

Hvað fjarlægi hlustarinn afhjúpar raunverulega

Athugaðu framsendingarstefnu þjónsins áður en þú treystir hlustaranum. Með GatewayPorts no helst fjarlæga framsendingin bundin við loopback, og það er sú útsetning sem þú vilt. Þjónn sem er stilltur til að þvinga fram villimerktar framsendingu birtir sömu gátt á hverju tengiborði, sem gerir persónulegan milliþjón að einhverju sem staðbundið net getur náð til.

Loopback er heldur ekki mörk á milli notenda. Annað ferli á Pi-num getur tengst 127.0.0.1:1080 ef það þekkir gáttina, svo staðbundnir reikningar Pi-sins og allt sem keyrir á honum eru hluti af aðgangshönnun þinni. Það er ástæða til að halda ákvörðunarstaðalistanum þröngum, ekki ástæða til að sleppa stefnuathuguninni.

Haltu leyfða ákvörðunarstaðnum sérstökum fyrir forritið sem þú ert að reyna að ná til. Ef honum er skipt út fyrir ótakmarkaða framsendingu svo ótengt forrit virki víkkar leiðin langt út fyrir vandamálið sem þú byrjaðir með. Ákvörðunarstaðalisti skráir líka til hvers lotan var, sem hjálpar þeim sem endurskoðar hana síðar. Skrifaðu hann niður við hlið reikningsins sem þú notaðir.

Sendu eitt forrit í gegnum milliþjóninn

Biðlari á Pi-num sem skilur milliþjón getur þá sent beiðnina. Forskeytið socks5h afhendir milliþjóninum ákvörðunarstaðarheitið, svo uppflettingin og tengingin eiga sér báðar stað á fartölvuhliðinni, og það passar við nefnda ákvörðunarstaðinn í PermitRemoteOpen:

curl --proxy socks5h://127.0.0.1:1080 \
  --noproxy '' https://app.corp.example/

Haltu venjulegri vottorðasannprófun og auðkenningu forritsins sjálfs. Milliþjónninn breytir því hvar TCP-tengingin er búin til; hann gerir óauðkennda þjónustu ekki örugga og breytir sjálfssignuðum endapunkti ekki í treystan.

Fartölvan þarf enn eigin leið og aðgang að leysinum bæði að SSH-þjóninum og forritinu. Umferð SSH-biðlarans hennar verður að vera valin af samþykktri VPN-stefnu, og undanþága fyrir klofna göng getur sent þá umferð aðra leið en þá sem þú prófaðir.

Sannaðu leiðina og lokaðu henni

Staðfestu að hlustarinn sé þar sem þú býst við og að aðeins fyrirhugaði ákvörðunarstaðurinn svari:

$ ss -ltnp | grep 1080
LISTEN 0 128 127.0.0.1:1080 0.0.0.0:*
$ curl -sS -o /dev/null -w '%{http_code}\n' \
    --proxy socks5h://127.0.0.1:1080 https://app.corp.example/

ExitOnForwardFailure getur sannað að framsendingin hafi verið sett upp, og getur samt ekki vottað að innskráning í forritið takist neðar. Prófaðu forritið, ekki bara gáttina. Hlustari sem tekur við og lætur síðan hverja beiðni mistakast þýðir venjulega að ákvörðunarstaðarheitið eða leið fartölvunnar sé röng, ekki að göngin hafi brugðist.

Þetta fyrirkomulag ber aðeins TCP. UDP, ICMP og forrit sem hunsa milliþjónsstillingar eru utan þess, og framsendingunni lýkur um leið og SSH-lotunni lýkur. Stöðvaðu þá lotu þegar þú ert búin og fjarlægðu milliþjónsstillinguna sem þú bættir við forritið.

Fyrir varanlegan aðgang skaltu nota studda skráningu neteigandans eða stýrða gátt í staðinn. Öfugur milliþjónn er rangt tæki til að komast hjá tækja- eða auðlindatakmörkunum VPN; notaður innan þeirra er hann einfaldlega ein heimiluð forritaleið með skýrum mörkum.