SSH'дин жергиликтүү багыттоосу TCP OpenVPN сессиясын кантип ташыйт

Бул жерде үч транспорт катмарланып турат жана ар биринин өз кадрлоосу бар. VPN жүгү TLS сессиясынын ичинде жүрөт, ошол TLS сессиясы loopback портуна TCP байланышынын ичинде жүрөт, ал эми ошол байланыштын байттары SSH ичинде relay хостко жүрөт, ал VPN угуучусуна чыныгы TCP байланышын ачат. Бул жайгашуу эч нерсени өзгөртпөйт, эмнени OpenVPN аутентификациялаарын, жана анда эч нерсе UDP угуучусун TCP аркылуу жеткиликтүү кылбайт. Калганын байт жолунун сүрөттөмөсү катары окуңуз, тармактык көзөмөлдү айланып өтүү рецепти катары эмес.

Жергиликтүү багыттоо чындыгында эмнени жылдырат

SSH кардары жергиликтүү портто угат. Жергиликтүү процесс туташканда, кардар байттарды өзүнүн шифрленген каналына таңып, сервер тарабы багыттоо өтүнүчүндө аталган барар жерге жаңы TCP байланышын ачат.

Ошол барар жерди relay чечет, сиздин машинаңыз эмес, ошондуктан алыскы тармактын ичинде гана бар аталыш дагы эле иштейт. Бул relay VPN угуучусуна жетиши жана ага кайтуу маршруту болушу керек дегенди билдирет. Ноутбукуңузда чечилген аталыш relay эмнени көрө алары тууралуу эч нерсе айтпайт.

SSH сессиясын баштоо relay жеткиликтүү жана аутентификацияланганын гана далилдейт. Ал кийинки угуучу иштеп жатабы, relay менен угуучунун ортосундагы firewall байланышты кабыл алабы, же VPN профилиңизди кабыл алабы дегенди айтпайт.

Кардарды жергиликтүү угуучуга багыттаңыз

Жарыяланган мисал: relay gw.internal.example:443 дарегиндеги TCP угуучусуна жете алат, ал эми бийик жергиликтүү порт бул жолду ушул машинага гана ачат.

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

OpenSSH колдонмосу жергиликтүү багыттоону TCP байланыштарын жергиликтүү кабыл алуу жана кийинки байланышты алыскы тараптан ачуу деп сүрөттөйт. Угуучуну бардык интерфейске эмес, loopback'ке байлаңыз, анткени тармактан жеткиликтүү багыттоо — сиздин атыңыз жазылган ачык relay. Wildcard байлоо портту жалпы машинадагы каалаган башка жергиликтүү эсепке да ачат.

Андан кийин VPN кардарын TCP режимине коюп, 127.0.0.1:24011 дарегине багыттаңыз. Профиль UDP колдонсо, бул долбоор жардам бере албайт: багыттоо байт агымын ташыйт жана анда датаграмма жолу жок.

Эки аутентификацияны өзүнчө кармаңыз

SSH relay хостун аутентификациялайт. OpenVPN дагы эле VPN өнөктөшүн аутентификациялайт, ал эми loopback барар жери бул талапты өзгөртпөйт. Сокет эми localhost'ко көрсөтүп турат деп сертификат текшерүүлөрүн өчүрүү — бул долбоордогу эң жаман кыска жол. Ал транспорттук жайгашууну ишеним жайгашуусуна айландырат, экинчисине эч ким макул болгон эмес.

Профилдин ишеним зымын, сервер ролун текшерүүнү жана атты ырастоону бузулбаган бойдон сактаңыз. Эгер кардарыңыз сервердин атын чалган дареги менен салыштырса, loopback'ке өчүрүлгөн текшерүүнүн ордуна ачык ат параметри керек болушу мүмкүн, ал эми кайсы талаа салыштырыларын ырастоочу жер — профилдин документтери.

Relay'ди ишеним окуясындагы экинчи тарап деп караңыз: анын администратору байланыш метаберилиштерин көрө алат жана конфигурация өзгөрсө багыттоону башка жакка бура алат. Бул жайгашуу relay менен VPN кызматынын ээсинин экөөнүн тең макулдугун талап кылат, бүгүн ага муктаж адамдын гана эмес.

Туннелдин астында цикл курбаңыз

VPN маршруттарды орноткондон кийин да аны ташыган SSH байланышына туннел аркылуу өтпөгөн relay'ге жол керек. Эгер демейки маршрут VPN'ге өтсө жана relay ошол эле туннел аркылуу гана жеткиликтүү болсо, транспорт кулайт жана VPN да аны менен кетет. Жагдай маршруттоо катасына эмес, кулаган туннелге окшошот, ошондуктан ал туура эмес диагностикаланат.

Адаттагы оңдоо — туннел көтөрүлүүдөн мурун физикалык интерфейске бекитилген relay дарегине хост маршруту, кошумча маршрут кайра туташуудан кийин да сакталарын текшерүү. Аны тартип туура болду деп божомолдоонун ордуна relay дареги үчүн маршрут издөө менен текшериңиз.

Ошондой эле бул стек түз байланыштан жай жана назик болот деп күтүңүз, анткени азыр эки иреттелген транспорт жана тейлөө үчүн дагы бир акыркы чекит бар. Бул тармактык чектен өтүү ыкмасы, аткарымдуулук техникасы эмес.

Бүткөндөн кийин угуучуну жабыңыз

Туннел мындан ары керек болбосо SSH сессиясын токтотуңуз жана жергиликтүү порт бошотулганын ырастаңыз. Унутулган багыттоо бөлүшүлүшү мүмкүн болгон машинада аутентификацияланган жолду ачык кармайт.

Relay'дин уруксат берилген багыттоо барар жерлерин да карап чыгыңыз, анткени кең пейил конфигурация бузулган каалаган эсепти жалпы таянычка айландырат. Портту, relay'ди жана барар жерди бирге жазыңыз, кийинки адам багыттоонун эмне үчүн болгонун жана дагы эле бекитилгенин биле алат.