Ná í HTTPS-vefsíðu sem aðeins er aðgengileg um VPN með SSH-framsendingu

Ein vél hefur þegar samþykktan VPN-aðgang, önnur vél þarf nákvæmlega eina einkaaðila HTTPS-þjónustu, og staðbundin SSH-framsending getur brúað þetta bil án þess að gefa seinni vélinni göng. Framsendingin ber eitt TCP-áfangastaðarstað í stað alls netsins, og einmitt þessi takmörkun er málið. Farðu í gegnum fimm skrefin hér að neðan í réttri röð, því hvert þeirra bregst af annarri ástæðu og seinna skref getur ekki bjargað fyrra bili. Ef einhver forsenda vantar leysir þessi hönnun það ekki og engin skipanastilling hjálpar.

Fyrsta skref: staðfestu þrjár forsendur

Þrír hlutir verða þegar að vera sannir áður en nokkur skipun skiptir máli. Þú þarft leyfi til að nota fyrstu vélina sem framsendingarhýsil, virkan SSH-aðgang að henni og stefnu þjónsins sem leyfir fyrirhugaðan áfangastað. SSH-reikningur sem var búinn til fyrir skráaflutning getur verið með framsendingu óvirka, og þjónn sem leyfir framsendingu getur samt takmarkað hvaða áfangastaðir eru aðgengilegir í gegnum hana. Spurðu áður en þú prófar, því að nota vinnustöð samstarfsmanns sem stökkpunkt án samkomulags er stefnumál, jafnvel þegar skipunin gengur gallalaust.

Tvær skipanir leysa tæknilega helminginn af þeim lista. Sú fyrri sannar að reikningurinn og lykillinn virka án gagnvirkrar beiðni, og sú seinni prentar raunverulega stefnu þjónsins í stað athugasemdardæmisins í stillingarskránni.

ssh -o BatchMode=yes [email protected] 'echo ok'
sudo sshd -T | grep -E 'allowtcpforwarding|permitopen'

Annað skref: bindu loopback-port og haltu lotunni lifandi

Á vélinni sem keyrir biðlaraforritið skaltu opna staðbundna framsendingu til einkaaðilaþjónustunnar. Bindu hana skýrt við loopback svo hún birtist ekki á staðbundnu netinu, og veldu háa port sem engin staðbundin þjónusta heldur þegar. Haltu lotunni gangandi á meðan þú vinnur, því að loka henni lokar hlustandanum. ExitOnForwardFailure gerir hafnaða bindingu eða upptekið port að tafarlausri útgöngu í stað lotu sem stendur án framsendingar, og það er bilunarhamurinn sem eyðir mestum tíma.

Einkatengingin er gerð frá stökkshýslinum, svo DNS, leiðir, VPN-stefna og þjónustuaðgangur þess hýsils verða öll að virka. SSH-lotan skapar ekki aðgengi sem stökkshýsilinn hefur ekki, og getur ekki lagfært leið sem VPN-ið ýtti aldrei. Staðfestu hlustandann þar sem hann er í raun í stað þess að treysta þögn skipunarinnar.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:9443:portal.lab.example:443 [email protected]
ss -ltn '( sport = :9443 )'

Þriðja skref: haltu HTTPS-nafninu þegar sambandið er staðbundið

Að vafra á https://127.0.0.1:9443/ breytir TLS-þjónsheitinu og heimild forritsins. Skírteini sem gefið var út fyrir portal.lab.example verður ekki staðfest gegn loopback-vistfangi, og villan sem fylgir lítur út eins og brotið skírteini frekar en framsendingarstytting. Fyrir skipanalínupróf skaltu halda raunverulegu slóðinni og breyta aðeins áfangastað sambandsins. Það er það sem --connect-to gerir, og handbók curl skjalfestir fjögurra reita formið sem notað er hér að neðan.

curl --noproxy portal.lab.example --connect-to portal.lab.example:443:127.0.0.1:9443 https://portal.lab.example/

Nafnið helst í slóðinni, í TLS-handtaki og í Host-hausnum, á meðan TCP-tengingin fer á staðbundna hlustandann. Valkosturinn án milliþjóns heldur prófinu á þessari framsendingu í stað þess að láta stilltan HTTP-milliþjón stöðva það, og að halda skírteinisstaðfestingu virkri er það sem gerir niðurstöðuna merkilega.

Fjórða skref: vita hvað ein framsending nær ekki yfir

Ein TCP-framsending nær yfir einn áfangastaðarport. Síða sem beinir á annað hýsilnafn, hleður auðlindum frá hýsli innan einkanetsins eða sendir á annað port þarf sína eigin framsendingu, og hver þeirra þarf sömu stefnuathugun og fyrsta. Vafraferlar bæta við eigin kröfum, því segja verður vafranum að senda raunverulega nafnið á staðbundna portið í gegnum milliþjónsstillingu eða staðbundna vörpun. Því sannar heppilegt skipanalínupróf ekki að vafrinn muni takast, þótt það sanni leiðina.

UDP, SMB-uppgötvun og innskráning í lén fara alls ekki í gegnum TCP-framsendingu. Ef raunverulega þörfin er almennur netaðgangur er þessi hönnun rangt verkfæri og studd fjaraðgangsgátt er rétta verkfærið.

Fimmta skref: hreinsaðu til og skráðu

Stöðvaðu lotuna þegar prófinu er lokið og staðfestu að hlustandinn sé farinn. Ef valda portið var þegar upptekið skaltu velja annað ónotað loopback-port og uppfæra slóðina, prófskipunina og athugasemdina saman, í stað þess að stöðva ótengda staðbundna þjónustu til að losa númerið. Að láta framsendingu standa opna á fartölvu gerir greiningu að óstýrðri þjónustu.

Skrifaðu niður stökkshýsilinn, framsenda áfangastaðinn, staðbundna portið og hver samþykkti ráðstöfunina. Framsending sem er aðeins til í shell-sögu einhvers er ein endurræsing frá endurtekinni rannsókn, og næsta manneskja mun ekki vita hvaða af þremur forsendunum hefur þegar verið athuguð.