sshuttle gegn fullu VPN: hvað aðferðin nær í raun yfir
sshuttle flytur aðeins það sem sendingaraðferð þess styður: athugaðu fyrst yfirferð TCP, DNS og UDP, staðbundin réttindi sem þarf og fjarhjálparann.
sshuttle er valið af því SSH virkar þegar og dulritunin virðist kunnugleg, og þessi röksemd sleppir einu spurningunni sem ræður því hvort það hentar. Hvaða pakkar yfirgefa vélina, hvaða reikningur flytur þá hinum megin og hversu mikil staðbundin réttindi tólið krefst. Þessi þrjú svör eru mismunandi eftir sendingaraðferð, svo uppsetning sem virkar fyrir eitt forrit getur hljóðlega brugðist fyrir það næsta. Upplýsingin hér fyrir neðan byrjar á samskiptareglunni sem forritið þarf í raun.
Byrjaðu á samskiptareglunni sem forritið þarf
Stuðningur við samskiptareglur í sshuttle 2.0 fer eftir aðferðinni sem þú velur. Aðferðirnar NAT og nft í Linux sjá um TCP og DNS, og TPROXY bætir almennu UDP við. Hver pallur og hver aðferð hefur sín mörk, og macOS grípur inn með allt annarri aðferð. Skráðu uppsetta útgáfu, valda aðferð og samskiptareglurnar sem forritið þarf áður en þú velur eitthvað.
Virk TCP-beiðni sannar því mjög litlu um UDP-forrit eða hverja DNS-fyrirspurn. sshuttle meðhöndlar TCP einnig sem strauma í stað þess að tunnla heilum IP-pökkum, svo ályktun um afköst sem fengin er að láni frá hefðbundnu VPN flyst ekki yfir. Berðu saman aðferðina sem þú keyrir í raun við álagið sem þú hefur í raun.
| Approach | What it carries | What it needs locally |
|---|---|---|
| SSH local forward | One explicitly named TCP destination | Nothing beyond the SSH client |
| sshuttle, nft or nat method | TCP and DNS to the routed prefixes | Root or sudo for firewall rules |
| sshuttle, tproxy method | TCP, DNS and general UDP | Root or sudo, and kernel support |
| IP VPN | Routed IP traffic in a tunnel | A client with the required privileges |
Hvað biðlarinn þarf staðbundið
Skjalfest biðlarauppsetning krefst root eða sudo, því hún setur upp staðbundnar afskiptareglur í stað þess að búa til tunnlaviðmót. Þessi eina staðreynd breytir öryggissögunni: ferli með þau réttindi getur vísað umferð allrar vélarinnar annað, ekki bara eins forrits. Meðhöndlaðu réttindin sem hluta af hönnuninni en ekki uppsetningaratriði.
Staðfestu hvaða reglur tólið setti upp og að þær hverfi þegar það hættir. Hrunið seta sem skilur afskiptareglur eftir getur sent umferð í svarthol löngu eftir að stjórnandinn telur tenginguna farna, og einkennin líta út eins og nettruflun frekar en regla sem varð eftir.
sudo sshuttle --method nft --dns 172.19.4.0/24
nft list ruleset | grep -i sshuttle
ip routeFyrsta skipunin er lögun dæmigerðrar köllunar, með forskeytinu sem þú þarft í raun. Önnur sýnir hvað tólið setti upp, og þriðja staðfestir að ekkert tunnlaviðmót birtist, sem er vænt niðurstaða fyrir þessa hönnun.
Hvað fjarlæga hliðin keyrir
Fjarlæga hliðin er heimilaður SSH-reikningur auk samhæfðs Python-hjálparumhverfis. Innskráning sem tekst undir takmörkuðum skel tekur ekki sjálfkrafa leyfi til að keyra þann hjálpara, og reikningur sem getur keyrt hjálparann nær ekki sjálfkrafa til hverrar markþjónustu. Báðar staðreyndirnar eiga heima í aðgangsbeiðninni en ekki í villuleitarnótum.
Verja sannprófun auðkennis hýsilsins og auðkenningu reikningsins. Að samþykkja óþekktan hýsillykil til að fyrsta tengingin virki fjarlægir athugunina á því að fjarlæga hliðin sé vélin sem þú ætlaðir, og það vegur þyngra hér en í sendingu fyrir eitt tiltekið hlutverk.
Takmarkaðu fjarlæga reikninginn við þjónusturnar sem vinnuflæðið þarf og semdu um það umfang við þá sem stýra hýslinum. Þeir eru hluti af traustsambandinu og engin stilling á biðlarahlið breytir því.
Hvar traustmörkin liggja
Að senda einkatengingu API í gegnum SSH heimilar ekki hverja API-aðgerð. TLS forritsins og innskráning í forritið gilda áfram, og tólið getur ekki gert þjónustu án auðkenningar örugga. Frekara stökk frá fjarlæga hýslinum er heldur ekki sjálfkrafa sami varði hlutinn og SSH-rásin, því sú önnur tenging fylgir þeirri stefnu sem fjarlægi hýsillinn hefur.
Skrifaðu mörkin sem eina setningu: umferð að þessum forskeytum fer út um þennan reikning á þeim hýsli. Ef setningin þarf efnisgrein af undantekningum gerir hönnunin meira en skjöl hennar fullyrða og á skilið annað yfirlit áður en hún nær framleiðslu.
Sannaðu það fyrir hverja samskiptareglu og veldu svo tólið
Prófaðu hverja nauðsynlega samskiptareglu með skaðlausri beiðni, þar á meðal slóð leysisins og þau vistfangafjölskyldur sem forritið notar. Hafðu aftengingu með í prófinu, svo leyfileg bilanatferli forritsins verði þekkt niðurstaða en ekki óvænt atvik. Seta sem sendi rétt á meðan hún var virk segir ekkert um hvað gerist þegar hún fellur.
Fyrir handfylli af þjónustum sem nefndar eru berum orðum er venjuleg staðbundin sending auðveldari í eigu og auðveldari í endurskoðun. Fyrir forritaumferð sem hentar aðferð þess býður sshuttle lögmæta millileið. Þegar krafan er breið IP-tenging er VPN-hönnun heiðarlegt svar, og valið fylgir yfirferð og rekstrarlegri ábyrgð frekar en röðun dulritunaraðferða.