HTTP прокси, SSH туннели же VPN: туура катмарды тандаңыз

Ички кызматка кантип жетүүнү үч инженерден сураңыз, үч долбоор аласыз: веб-прокси, SSH туннели же толук VPN. Үчөө тең алыскы кызматты жеткиликтүү кыла алат жана үчөө тең трафикти башка жерден келе жаткандай көрсөтө алат. Айырмачылыктар кийин, колдонулуп жаткан протокол тандалган курал күткөн протокол болбогондо чыгат. Браузердеги тез текшерүүдөн өткөн долбоор суроо-талапка себеп болгон колдонмодо көп учурда ийгиликсиз болот.

Эки фактыдан чечиңиз: кайсы протоколдор өтүшү керек жана тиешелүү аттарды ким чече алат. Калганы — тандоо маселеси.

Прокси түшүнгөнүн гана жылдырат

Веб-прокси өзү үчүн курулган протоколду талдайт. Кардар ага суроо-талап берет жана ал аны андан ары өткөрөт, ошондуктан прокси жөндөөсү жок колдонмо такыр катышпайды. HTTPS үчүн кардарга тунук эмес канал керек, прокси аны суроо-талапты окуу менен эмес, CONNECT аркылуу берет.

SSH динамикалык багыттоо SOCKS сүйлөгөн жергиликтүү портту ачат жана ал порт TCP агымын кардар атаган каалаган дарекке өткөрөт. TCP негизиндеги протоколдор адатта ошонун аркылуу иштейт. UDP андай эмес, эгер курал колдоону ачык кошпосо. Жергиликтүү багыттоо андан да тар: бир жергиликтүү порт бир туруктуу хост жана портко бекитилген, ал бир белгилүү кызматка кызмат кылат жана андан ашык эмес.

ssh -D 1080 user@bastion
ssh -L 8443:fileserver.internal:443 user@bastion

VPN пакеттерди жылдырат. Кардар туннелге багыттагандын баары андан өтөт, UDP жана ICMP кошо, ошондуктан ал өзүнчө байланышка эмес, тармак талабына туура келет.

Бирөө атты чечүүгө тийиш

Максаттуу ат алыскы тармактын DNSинде гана болсо, издөөнү аткарган машина ошол аймакты көрө алышы керек. Веб-прокси издөөнү өзү жасайт, ошондуктан ички ат ноутбук атты такыр чече албаса да анын аркылуу иштейт. SOCKS да ушундай жүрүм-турум кылса болот, бирок кардар атты андан ары өткөрсө гана, өзү чечкен дарекке туташуунун ордуна. Бул тандоо серверде эмес, кардарда.

curl бөлүнүштү ачык көрсөтөт: бир флаг хосттун атын проксиге берет, экинчиси аны адегенде жергиликтүү чечет. Жергиликтүү чечүү менен ички гана ат кандайдыр бир туннелге тийүүдөн мурун ийгиликсиз болот жана ката чындыгында DNS чечими болгон нерсе үчүн проксини күнөөлөйт.

VPN үчүнчү жолду тандайт: багыттардын жанына жеке чечүүчү жана издөө доменин орнотот. Бул ыңгайлуу жана тааныш элес жаратат: жооп бербеген чечүүчү менен катар бар багыт так өлгөн туннелге окшош, пакеттер аркы тарапка жетип жатса да.

Тармак бир гана чыгууга уруксат бергенде

Көптөгөн корпоративдик тармактар сырткы байланыштарга аутентификацияланган веб-прокси аркылуу гана уруксат берет. OpenVPN жана SSH экөөнү тең ал жерде иштетүүгө болот: биринчиси өз транспортун прокси аркылуу туннелдесе, экинчиси кичинекей CONNECT жардамчысын иштеткен прокси буйругу аркылуу.

TCP негизиндеги туннелдер бул чектөөгө туруштук берет, ал эми UDP негизиндеги VPN бербейт, бул үйдө иштеп, кеңседе ийгиликсиз болгон көптөгөн конфигурацияларды түшүндүрөт. Экинчи чыгымды байкоо оңой: прокси аркылуу өткөн TCP байланышынын ичинде ташылып жаткан TCP туннелинде эми кайра жиберүүчү эки катмар бар жана жоготуу шартында бул жуп эч бир катмар жалгыз жаратпаган түрдө токтойт.

Делдалдарды чынжырга туташтыруу катмар тандоодон башка маселе. Экинчи прокси же Tor кошуу ким эмнени байкаарын өзгөртөт жана чынжырдагы орду кайсы секирик шифрленген текстти көрөөрүн аныктайт.

Тартип секириктердин санынан маанилүү. Сырткы секирик шифрленген агымды байкайт, ичкиси анын ташыган ачык текстти көрөт, ошондуктан чынжыр эң этиятсыз звеносуна чейин гана жашыруун. Секириктердин ортосунда протоколдорду аралаштыруу муну өзүнөн өзү жакшыртпайт. Ал көбүнчө ийгиликсиздик режимдери жөнүндө ойлонууну кыйындатат.

Жасалма дарек варианттардын бири эмес

Башканын булак дареги менен пакеттерди жасоо пайдалуу эч нерсе бербейт: жооптор чыныгы ээсине барат жана көпчүлүк тармактар трафикти эле таштап салат. Делдал дал булакты ойлоп табуу мүмкүн болбогондуктан керек жана бул үч долбоордун чынчыл негиздемеси.

Бул ошондой эле алардын ар бири эмнени талап кыла аларын чектейт. Белгилүү бир даректен келгендей көрүнүү бул дарек кайда мыйзамдуу түрдө бөлүнгөнү жана аны ким багыттай алары тууралуу суроо, кайсы курал аталышты жасалма кыла алары тууралуу эмес. Эгер долбоор тескерисинче деп эсептесе, божомол аны чыпкалаган биринчи провайдерде кыйрайт. Божомолду жазып коюңуз, ошондо ийгиликсиздик келгенде таанылат.

Протоколдор жана аттар боюнча чечиңиз

Бир веб-кардарга бир веб-кызмат керек болсо жана прокси жөндөөлөрү бар болсо, прокси тандаңыз. Бир нече белгилүү TCP кызматы жетиштүү болсо жана SSH жеткиликтүүлүгү мурунтан бар болсо, SSH туннелин тандаңыз. Бир нече колдонмо, TCP эмес трафик, жеке DNS же кайра пайдаланылуучу жол талаптын бөлүгү болсо, VPN тандаңыз.

Анан чыныгы кардар жана чыныгы ат менен текшериңиз. Прокси аркылуу барак жүктөө UDP жөнүндө эч нерсе үйрөтпөйт жана бир куралды SOCKS аркылуу иштетүү системалык чечүүчү жөнүндө эч нерсе үйрөтпөйт. Процесстин кайсы жергиликтүү дарекке байланганын жана кайсы чечүүчү жооп бергенин окуңуз. Бул иштеген жол менен бир жолу кокустуктан иштеген жолдун айырмасы.