Hvernig staðbundin SSH-framsending flytur TCP OpenVPN-lotu

Hér staflast þrjár flutningsleiðir og hver hefur sína umgjörð. VPN-hleðslan ferðast inni í TLS-lotu, sú TLS-lota ferðast inni í TCP-tengingu að loopback-gátt, og bætin í þeirri tengingu ferðast inni í SSH að relay-hýsi sem opnar raunverulegu TCP-tenginguna við VPN-hlustarann. Ekkert í fyrirkomulaginu breytir því sem OpenVPN sannreyndir, og ekkert í því gerir UDP-hlustara aðgengilegan um TCP. Lestu afganginn sem lýsingu á bætaleiðinni, ekki sem uppskrift til að komast fram hjá netstýringu.

Hvað staðbundna framsendingin flytur í raun

SSH-biðlarinn hlustar á staðbundinni gátt. Þegar staðbundið ferli tengist pakkar biðlarinn bætunum í dulkóðaða rás sína, og netþjónshliðin opnar nýja TCP-tengingu við áfangann sem nefndur er í framsendingarbeiðninni.

Þann áfanga leysir relay-ið, ekki vélin þín, og þess vegna virkar nafn sem er aðeins til inni í fjarnetinu ennþá. Það þýðir líka að relay-ið verður að geta náð til VPN-hlustarans og átt leið til baka til hans. Nafn sem leysist á fartölvunni þinni segir ekkert um það sem relay-ið sér.

Að hefja SSH-lotuna sannar aðeins að relay-ið sé aðgengilegt og sannreynt. Það segir ekkert um hvort næsti hlustari sé í gangi, hvort eldveggur milli relaysins og hlustarans samþykki tenginguna, eða hvort VPN-ið samþykki sniðið þitt.

Beindu biðlinum að staðbundna hlustaranum

Tilkynnt dæmi: relay-ið nær til TCP-hlustara á gw.internal.example:443, og há staðbundin gátt opnar þá leið aðeins fyrir þessa vél.

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

OpenSSH-handbókin lýsir staðbundinni framsendingu sem staðbundinni móttöku TCP-tenginga og opnun næstu tengingar frá fjarlægu hliðinni. Bindtu hlustarann við loopback frekar en alla tengibúnaði, því framsending sem er aðgengileg frá netinu er opin relay með nafninu þínu á. Algildisbinding opnar gáttina líka fyrir hvaða annan staðbundinn reikning sem er á sameiginlegri vél.

Stilltu svo VPN-biðlarann í TCP-ham og beindu honum að 127.0.0.1:24011. Ef sniðið notar UDP getur þessi hönnun ekki hjálpað: framsendingin flytur bætastreymi og engin gagnagrannaleið liggur í gegnum hana.

Haltu sannreyndunum tveimur aðskildum

SSH sannreyndir relay-hýsið. OpenVPN sannreyndir enn VPN-jafningjann, og loopback-áfanginn breytir ekki þeirri kröfu. Að slökkva á vottorðsprófunum vegna þess að innstungan vísar nú á localhost er versta flýtileiðin í þessari hönnun. Hún breytir flutningsfyrirkomulagi í traustsfyrirkomulag, og enginn samþykkti hið síðara.

Haltu traustsakkeri sniðsins, hlutverksprófun netþjóns og nafnafullvissun ósnortnum. Ef biðlarinn þinn ber saman nafn netþjónsins við vistfangið sem hann hringdi í gæti loopback þurft skýra nafnastillingu í stað slökktra prófana, og skjöl sniðsins eru staðurinn til að staðfesta hvaða svið er borið saman.

Líttu á relay-ið sem annan aðila í traustssögunni: stjórnandi þess sér lýsigögn tenginga og getur vísað framsendingunni annað ef stillingunni er breytt. Fyrirkomulagið þarf samþykki bæði relaysins og eiganda VPN-þjónustunnar, ekki bara þess sem þarf hana í dag.

Byggðu ekki lykkju undir göngunum

Þegar VPN-ið setur upp leiðir þarf SSH-tengingin sem flytur það enn leið að relay-inu sem fer ekki í gegnum göngin. Ef sjálfgefna leiðin flyst á VPN-ið og relay-ið er aðeins aðgengilegt um sömu göngin hrynur flutningurinn og VPN-ið fer með. Bilunin lítur út eins og fallin göng frekar en leiðarvilla, og þess vegna er hún greind rangt.

Venjulega lagfæringin er hýsilleið að vistfangi relaysins fest við eðlisfræðilega tengibúnaðinn áður en göngin rísa, auk prófunar að leiðin lifi endurtengingu af. Staðfestu hana með leiðarleit að vistfangi relaysins í stað þess að gera ráð fyrir að röðin hafi verið rétt.

Búðu líka við að þessi stakkur sé hægari og brothættari en bein tenging, því nú eru tvær raðaðar flutningsleiðir og einn endapunktur í viðhald. Þetta er leið til að fara yfir netmörk, ekki afkastatækni.

Lokaðu hlustaranum þegar þú ert búinn

Stöðvaðu SSH-lotuna þegar göngin eru ekki lengur nauðsynleg, og staðfestu að staðbundna gáttin hafi verið losuð. Gleymd framsending heldur sannreyndri leið opinni á vél sem kann að vera sameiginleg.

Farðu líka yfir leyfða framsendingaráfanga relaysins, því leyfandi stilling gerir hvaða reikning sem er í hættu að almennum snúningspunkti. Skráðu gáttina, relay-ið og áfangann saman, svo næsta manneskja viti til hvers framsendingin var og hvort hún sé enn samþykkt.