SSH ನ ಸ್ಥಳೀಯ ಫಾರ್ವರ್ಡ್ TCP OpenVPN ಸೆಷನ್ ಅನ್ನು ಹೇಗೆ ಸಾಗಿಸುತ್ತದೆ

ಇಲ್ಲಿ ಮೂರು ಸಾಗಣೆ ಪದರಗಳು ಒಂದರ ಮೇಲೊಂದು ಬರುತ್ತವೆ, ಮತ್ತು ಪ್ರತಿಯೊಂದಕ್ಕೂ ತನ್ನದೇ ಚೌಕಟ್ಟು ಇದೆ। VPN ಪೇಲೋಡ್ TLS ಸೆಷನ್ ಒಳಗೆ ಸಾಗುತ್ತದೆ, ಆ TLS ಸೆಷನ್ ಲೂಪ್ಬ್ಯಾಕ್ ಪೋರ್ಟ್ಗೆ TCP ಸಂಪರ್ಕದ ಒಳಗೆ ಸಾಗುತ್ತದೆ, ಮತ್ತು ಆ ಸಂಪರ್ಕದ ಬೈಟ್ಗಳು SSH ಒಳಗೆ ರಿಲೇ ಹೋಸ್ಟ್ಗೆ ಸಾಗುತ್ತವೆ, ಅದು VPN ಶ್ರೋತೃಕ್ಕೆ ನಿಜವಾದ TCP ಸಂಪರ್ಕವನ್ನು ತೆರೆಯುತ್ತದೆ। ಈ ಜೋಡಣೆಯಲ್ಲಿ ಏನೂ ಬದಲಾಗುವುದಿಲ್ಲ OpenVPN ದೃಢೀಕರಿಸುವುದನ್ನು, ಮತ್ತು ಅದರಲ್ಲಿ ಏನೂ UDP ಶ್ರೋತೃವನ್ನು TCP ಮೂಲಕ ತಲುಪಬಹುದಾದಂತೆ ಮಾಡುವುದಿಲ್ಲ। ಉಳಿದದ್ದನ್ನು ಬೈಟ್ ಮಾರ್ಗದ ವಿವರಣೆಯಾಗಿ ಓದಿ, ಜಾಲ ನಿಯಂತ್ರಣವನ್ನು ಬೈಪಾಸ್ ಮಾಡುವ ಪಾಕವಿಧಾನವಾಗಿ ಅಲ್ಲ।

ಸ್ಥಳೀಯ ಫಾರ್ವರ್ಡ್ ನಿಜವಾಗಿ ಏನನ್ನು ಸಾಗಿಸುತ್ತದೆ

SSH ಕ್ಲೈಂಟ್ ಸ್ಥಳೀಯ ಪೋರ್ಟ್ನಲ್ಲಿ ಕೇಳುತ್ತದೆ। ಸ್ಥಳೀಯ ಪ್ರಕ್ರಿಯೆ ಸಂಪರ್ಕಿಸಿದಾಗ, ಕ್ಲೈಂಟ್ ಬೈಟ್ಗಳನ್ನು ತನ್ನ ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ಚಾನಲ್ಗೆ ಪ್ಯಾಕ್ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಸರ್ವರ್ ಭಾಗವು ಫಾರ್ವರ್ಡ್ ವಿನಂತಿಯಲ್ಲಿ ಹೆಸರಿಸಿದ ಗಮ್ಯಸ್ಥಾನಕ್ಕೆ ಹೊಸ TCP ಸಂಪರ್ಕವನ್ನು ತೆರೆಯುತ್ತದೆ।

ಆ ಗಮ್ಯಸ್ಥಾನವನ್ನು ರಿಲೇ ಪರಿಹರಿಸುತ್ತದೆ, ನಿಮ್ಮ ಯಂತ್ರವಲ್ಲ, ಆದ್ದರಿಂದ ದೂರದ ಜಾಲದ ಒಳಗೆ ಮಾತ್ರ ಇರುವ ಹೆಸರೂ ಇನ್ನೂ ಕೆಲಸ ಮಾಡುತ್ತದೆ। ಇದರರ್ಥ ರಿಲೇ VPN ಶ್ರೋತೃವನ್ನು ತಲುಪಬಲ್ಲದಾಗಿರಬೇಕು ಮತ್ತು ಅಲ್ಲಿಗೆ ಮರಳು ಮಾರ್ಗವನ್ನು ಹೊಂದಿರಬೇಕು। ನಿಮ್ಮ ಲ್ಯಾಪ್ಟಾಪ್ನಲ್ಲಿ ಪರಿಹರಿಸುವ ಹೆಸರು ರಿಲೇ ಏನನ್ನು ನೋಡಬಲ್ಲದು ಎಂಬುದರ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ।

SSH ಸೆಷನ್ ಪ್ರಾರಂಭಿಸುವುದು ರಿಲೇ ತಲುಪಬಹುದಾದ ಮತ್ತು ದೃಢೀಕೃತವಾಗಿದೆ ಎಂಬುದನ್ನು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ। ಮುಂದಿನ ಶ್ರೋತೃ ಚಾಲನೆಯಲ್ಲಿದೆಯೇ, ರಿಲೇ ಮತ್ತು ಶ್ರೋತೃ ನಡುವಿನ ಫೈರ್ವಾಲ್ ಸಂಪರ್ಕವನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆಯೇ, ಅಥವಾ VPN ನಿಮ್ಮ ಪ್ರೊಫೈಲ್ ಸ್ವೀಕರಿಸುತ್ತದೆಯೇ ಎಂಬುದನ್ನು ಅದು ಹೇಳುವುದಿಲ್ಲ।

ಕ್ಲೈಂಟ್ ಅನ್ನು ಸ್ಥಳೀಯ ಶ್ರೋತೃಗೆ ತಿರುಗಿಸಿ

ಘೋಷಿತ ಉದಾಹರಣೆ: ರಿಲೇ gw.internal.example:443 ನಲ್ಲಿ TCP ಶ್ರೋತೃವನ್ನು ತಲುಪಬಲ್ಲದು, ಮತ್ತು ಎತ್ತರದ ಸ್ಥಳೀಯ ಪೋರ್ಟ್ ಆ ಮಾರ್ಗವನ್ನು ಈ ಯಂತ್ರಕ್ಕೆ ಮಾತ್ರ ತೆರೆಯುತ್ತದೆ।

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

OpenSSH ಕೈಪಿಡಿ ಸ್ಥಳೀಯ ಫಾರ್ವರ್ಡ್ ಅನ್ನು ಸ್ಥಳೀಯವಾಗಿ TCP ಸಂಪರ್ಕಗಳನ್ನು ಸ್ವೀಕರಿಸುವುದು ಮತ್ತು ದೂರದ ಬದಿಯಿಂದ ಮುಂದಿನ ಸಂಪರ್ಕವನ್ನು ತೆರೆಯುವುದು ಎಂದು ವಿವರಿಸುತ್ತದೆ। ಶ್ರೋತೃವನ್ನು ಎಲ್ಲಾ ಇಂಟರ್ಫೇಸ್ಗಳಿಗೆ ಬದಲು ಲೂಪ್ಬ್ಯಾಕ್ಗೆ ಬಂಧಿಸಿ, ಏಕೆಂದರೆ ಜಾಲದಿಂದ ತಲುಪಬಹುದಾದ ಫಾರ್ವರ್ಡ್ ನಿಮ್ಮ ಹೆಸರಿರುವ ತೆರೆದ ರಿಲೇ ಆಗಿದೆ। ವೈಲ್ಡ್ಕಾರ್ಡ್ ಬೈಂಡ್ ಹಂಚಿಕೆಯ ಯಂತ್ರದಲ್ಲಿನ ಯಾವುದೇ ಇತರ ಸ್ಥಳೀಯ ಖಾತೆಗೂ ಪೋರ್ಟ್ ತೆರೆಯುತ್ತದೆ।

ನಂತರ VPN ಕ್ಲೈಂಟ್ ಅನ್ನು TCP ಮೋಡ್ಗೆ ಹಾಕಿ 127.0.0.1:24011 ಗೆ ತಿರುಗಿಸಿ। ಪ್ರೊಫೈಲ್ UDP ಬಳಸಿದರೆ, ಈ ವಿನ್ಯಾಸ ಸಹಾಯ ಮಾಡಲಾರದು: ಫಾರ್ವರ್ಡ್ ಬೈಟ್ ಸ್ಟ್ರೀಮ್ ಸಾಗಿಸುತ್ತದೆ, ಮತ್ತು ಅದರ ಮೂಲಕ ಡೇಟಾಗ್ರಾಮ್ ಮಾರ್ಗವಿಲ್ಲ।

ಎರಡು ದೃಢೀಕರಣಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಇರಿಸಿ

SSH ರಿಲೇ ಹೋಸ್ಟ್ ಅನ್ನು ದೃಢೀಕರಿಸುತ್ತದೆ। OpenVPN ಇನ್ನೂ VPN ಪೀರ್ ಅನ್ನು ದೃಢೀಕರಿಸುತ್ತದೆ, ಮತ್ತು ಲೂಪ್ಬ್ಯಾಕ್ ಗಮ್ಯಸ್ಥಾನ ಆ ಅಗತ್ಯವನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ। ಸಾಕೆಟ್ ಈಗ localhost ಗೆ ತೋರಿಸುತ್ತದೆ ಎಂದು ಪ್ರಮಾಣಪತ್ರ ಪರಿಶೀಲನೆಗಳನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು ಈ ವಿನ್ಯಾಸದಲ್ಲಿನ ಅತ್ಯಂತ ಕೆಟ್ಟ ಶಾರ್ಟ್ಕಟ್। ಅದು ಸಾಗಣೆ ಜೋಡಣೆಯನ್ನು ನಂಬಿಕೆ ಜೋಡಣೆಯಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ, ಮತ್ತು ಎರಡನೆಯದಕ್ಕೆ ಯಾರೂ ಒಪ್ಪಿಗೆ ನೀಡಿಲ್ಲ।

ಪ್ರೊಫೈಲ್ನ ನಂಬಿಕೆ ಆಂಕರ್, ಸರ್ವರ್ ಪಾತ್ರ ಪರಿಶೀಲನೆ ಮತ್ತು ಹೆಸರು ಪರಿಶೀಲನೆಯನ್ನು ಅಕ್ಷತವಾಗಿ ಇರಿಸಿ। ನಿಮ್ಮ ಕ್ಲೈಂಟ್ ಸರ್ವರ್ ಹೆಸರನ್ನು ಅದು ಡಯಲ್ ಮಾಡಿದ ವಿಳಾಸದೊಂದಿಗೆ ಹೋಲಿಸಿದರೆ, ಲೂಪ್ಬ್ಯಾಕ್ಗೆ ನಿಷ್ಕ್ರಿಯ ಪರಿಶೀಲನೆಯ ಬದಲು ಸ್ಪಷ್ಟ ಹೆಸರು ಸೆಟ್ಟಿಂಗ್ ಬೇಕಾಗಬಹುದು, ಮತ್ತು ಯಾವ ಕ್ಷೇತ್ರ ಹೋಲಿಸಲಾಗುತ್ತದೆ ಎಂಬುದನ್ನು ದೃಢೀಕರಿಸುವ ಸ್ಥಳ ಪ್ರೊಫೈಲ್ ದಾಖಲೆಗಳು।

ರಿಲೇಯನ್ನು ನಂಬಿಕೆಯ ಕಥೆಯಲ್ಲಿ ಎರಡನೇ ಪಕ್ಷ ಎಂದು ಪರಿಗಣಿಸಿ: ಅದರ ನಿರ್ವಾಹಕ ಸಂಪರ್ಕ ಮೆಟಾಡೇಟಾವನ್ನು ನೋಡಬಲ್ಲರು ಮತ್ತು ಸಂರಚನೆ ಬದಲಾದರೆ ಫಾರ್ವರ್ಡ್ ಅನ್ನು ಬೇರೆಡೆಗೆ ತಿರುಗಿಸಬಲ್ಲರು। ಈ ಜೋಡಣೆಗೆ ರಿಲೇ ಮತ್ತು VPN ಸೇವೆಯ ಮಾಲೀಕ ಇಬ್ಬರ ಅನುಮೋದನೆಯೂ ಬೇಕು, ಇಂದು ಅದರ ಅಗತ್ಯ ಇರುವವರದ್ದು ಮಾತ್ರವಲ್ಲ।

ಸುರಂಗದ ಕೆಳಗೆ ಲೂಪ್ ನಿರ್ಮಿಸಬೇಡಿ

VPN ಮಾರ್ಗಗಳನ್ನು ಸ್ಥಾಪಿಸಿದ ನಂತರವೂ ಅದನ್ನು ಸಾಗಿಸುವ SSH ಸಂಪರ್ಕಕ್ಕೆ ಸುರಂಗದ ಮೂಲಕ ಹೋಗದ ರಿಲೇ ಮಾರ್ಗ ಬೇಕು। ಡಿಫಾಲ್ಟ್ ಮಾರ್ಗ VPN ಗೆ ಹೋದರೆ ಮತ್ತು ರಿಲೇ ಅದೇ ಸುರಂಗದ ಮೂಲಕ ಮಾತ್ರ ತಲುಪಬಹುದಾದರೆ, ಸಾಗಣೆ ಕುಸಿಯುತ್ತದೆ ಮತ್ತು VPN ಕೂಡ ಅದರೊಂದಿಗೆ ಹೋಗುತ್ತದೆ। ವೈಫಲ್ಯವು ಮಾರ್ಗದರ್ಶನ ದೋಷದಂತೆ ಅಲ್ಲ, ಬಿದ್ದ ಸುರಂಗದಂತೆ ಕಾಣುತ್ತದೆ, ಆದ್ದರಿಂದ ಅದನ್ನು ತಪ್ಪಾಗಿ ನಿರ್ಣಯಿಸಲಾಗುತ್ತದೆ।

ಸಾಮಾನ್ಯ ಪರಿಹಾರ ಸುರಂಗ ಏಳುವ ಮೊದಲು ಭೌತಿಕ ಇಂಟರ್ಫೇಸ್ಗೆ ಪಿನ್ ಮಾಡಿದ ರಿಲೇ ವಿಳಾಸಕ್ಕೆ ಹೋಸ್ಟ್ ಮಾರ್ಗ, ಜೊತೆಗೆ ಮರುಸಂಪರ್ಕದ ನಂತರವೂ ಮಾರ್ಗ ಉಳಿಯುತ್ತದೆ ಎಂಬ ಪರಿಶೀಲನೆ। ಕ್ರಮ ಸರಿಯಾಗಿತ್ತು ಎಂದು ಊಹಿಸುವ ಬದಲು ರಿಲೇ ವಿಳಾಸಕ್ಕೆ ಮಾರ್ಗ ಹುಡುಕಾಟದಿಂದ ಅದನ್ನು ಪರಿಶೀಲಿಸಿ।

ಈ ರಾಶಿ ನೇರ ಸಂಪರ್ಕಕ್ಕಿಂತ ನಿಧಾನ ಮತ್ತು ಸೂಕ್ಷ್ಮವಾಗಿರುತ್ತದೆ ಎಂದು ನಿರೀಕ್ಷಿಸಿ, ಏಕೆಂದರೆ ಈಗ ಎರಡು ಕ್ರಮಬದ್ಧ ಸಾಗಣೆಗಳು ಮತ್ತು ನಿರ್ವಹಿಸಲು ಇನ್ನೊಂದು ಅಂತ್ಯಬಿಂದು ಇದೆ। ಇದು ಜಾಲ ಮಿತಿಯನ್ನು ದಾಟುವ ವಿಧಾನ, ಕಾರ್ಯಕ್ಷಮತೆ ತಂತ್ರವಲ್ಲ।

ಮುಗಿದ ಮೇಲೆ ಶ್ರೋತೃವನ್ನು ಮುಚ್ಚಿ

ಸುರಂಗದ ಅಗತ್ಯ ಇಲ್ಲದಿದ್ದಾಗ SSH ಸೆಷನ್ ನಿಲ್ಲಿಸಿ, ಮತ್ತು ಸ್ಥಳೀಯ ಪೋರ್ಟ್ ಬಿಡುಗಡೆಯಾಗಿದೆ ಎಂದು ದೃಢಪಡಿಸಿ। ಮರೆತ ಫಾರ್ವರ್ಡ್ ಹಂಚಿಕೊಳ್ಳಬಹುದಾದ ಯಂತ್ರದಲ್ಲಿ ದೃಢೀಕೃತ ಮಾರ್ಗವನ್ನು ತೆರೆದಿಡುತ್ತದೆ।

ರಿಲೇಯ ಅನುಮತಿಸಿದ ಫಾರ್ವರ್ಡ್ ಗಮ್ಯಸ್ಥಾನಗಳನ್ನೂ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಉದಾರ ಸಂರಚನೆ ಯಾವುದೇ ರಾಜಿಯಾದ ಖಾತೆಯನ್ನು ಸಾಮಾನ್ಯ ಆಧಾರಬಿಂದುವಾಗಿ ಮಾಡುತ್ತದೆ। ಪೋರ್ಟ್, ರಿಲೇ ಮತ್ತು ಗಮ್ಯಸ್ಥಾನವನ್ನು ಒಟ್ಟಿಗೆ ದಾಖಲಿಸಿ, ಮುಂದಿನ ವ್ಯಕ್ತಿಗೆ ಫಾರ್ವರ್ಡ್ ಯಾವುದಕ್ಕಾಗಿ ಇತ್ತು ಮತ್ತು ಇನ್ನೂ ಅನುಮೋದಿತವಾಗಿದೆಯೇ ಎಂದು ತಿಳಿಯಲು।