Eng HTTPS-Säit, déi nëmmen iwwer VPN erreechbar ass, iwwer eng SSH-Weiderleitung erreechen

Eng Maschinn huet schonn eng genehmegt VPN-Zougrëff, eng zweet Maschinn brauch genee een private HTTPS-Service, an eng lokal SSH-Weiderleitung kann dës Lück iwwerbrécken, ouni der zweeter Maschinn en Tunnel ze ginn. D'Weiderleitung dréit eng eenzeg TCP-Destinatioun amplaz vum ganzen Netz, an genau dës Grenz ass de Punkt. Maacht déi fënnef Schrëtt hei drënner an der Rei, well jiddwereen aus engem anere Grond feelt an e spéidere Schrëtt eng fréier Lück net ka retten. Wann eng Virbedingung feelt, léist dësen Design se net an eng nach sou gutt Kommandoastellung hëlleft net.

Schrëtt een: bestätegt déi dräi Virbedingungen

Dräi Saachen musse schonn zoutreffen, ier eng Kommando eppes bedeit. Dir braucht d'Erlaabnis, déi éischt Maschinn als Weiderleitungs-Host ze benotzen, funktionéierenden SSH-Zougrëff dohin an eng Serverpolitik, déi déi ugeduecht Destinatioun erlaabt. En SSH-Kont, deen fir Dateiwiwwerdroung ugeluecht gouf, kann d'Weiderleitung deaktivéiert hunn, an e Server, deen d'Weiderleitung erlaabt, kann nach ëmmer aschränken, wéi eng Destinatiounen driwwer erreechbar sinn. Frot virum Testen, well d'Aarbechtsplaz vun engem Kolleg ouni Ofsprooch als Sprongpunkt ze benotzen ass e Politikproblem, och wann d'Kommando fehlerfräi leeft.

Zwou Kommandoen entscheeden déi technesch Halschent vun där Lëscht. Déi éischt beweist, datt de Kont an de Schlëssel ouni interaktiv Ufro funktionéieren, an déi zweet dréckt déi tatsächlech Serverpolitik aus amplaz vum kommentéierte Beispill an der Konfiguratiounsdatei.

ssh -o BatchMode=yes [email protected] 'echo ok'
sudo sshd -T | grep -E 'allowtcpforwarding|permitopen'

Schrëtt zwee: bind eng loopback-Port a haalt d'Sessioun lieweg

Op der Maschinn, déi d'Client-Applikatioun lafe léisst, maacht eng lokal Weiderleitung op de private Service op. Bind se ausdrécklech un loopback, sou datt se net am lokalen Netz verëffentlecht gëtt, a wielt eng héich Port, déi keen lokalen Service schonn hält. Haalt d'Sessioun um Lafen, wärend Dir schafft, well hir Zoumaache maacht och de Lauschterer zou. ExitOnForwardFailure mécht aus enger ofgeleenter Bindung oder enger besater Port en direkten Ofschloss amplaz enger Sessioun, déi ouni Weiderleitung bestoe bleift, an dat ass de Feelermodus, deen déi meescht Zäit verschwendt.

Déi privat Verbindung gëtt vum Spronghost aus opgebaut, dofir mussen deem säin DNS, seng Routen, seng VPN-Politik a säin Zougrëff op de Service all funktionéieren. D'SSH-Sessioun erzeecht keng Erreechbarkeet, déi de Spronghost net huet, an se kann eng Route, déi de VPN ni gedréckt huet, net reparéieren. Bestätegt de Lauschterer do, wou en tatsächlech ass, amplaz op d'Stille vun der Kommando ze vertrauen.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:9443:portal.lab.example:443 [email protected]
ss -ltn '( sport = :9443 )'

Schrëtt dräi: behält den HTTPS-Numm, wann de Socket lokal ass

https://127.0.0.1:9443/ opzeruffen ännert den TLS-Servernumm an d'Autoritéit vun der Applikatioun. E Zertifikat, deen fir portal.lab.example ausgestallt gouf, validéiert net géint eng loopback-Adress, an de Feeler, deen dobei entsteet, gesäit aus wéi e gebrachent Zertifikat amplaz wéi eng Weiderleitungs-Ofkierzung. Fir en Test op der Kommandozeil behält déi richteg URL a ännert just d'Socket-Destinatioun. Dat mécht --connect-to, an den curl-Handbuch dokumentéiert déi véier-Felder-Form, déi hei drënner benotzt gëtt.

curl --noproxy portal.lab.example --connect-to portal.lab.example:443:127.0.0.1:9443 https://portal.lab.example/

Den Numm bleift an der URL, am TLS-Handshake an am Host-Header, wärend d'TCP-Verbindung op de lokale Lauschterer geet. D'Optioun ouni Proxy hält den Test op dëser Weiderleitung, amplaz engem konfiguréierte HTTP-Proxy ze erlaben, en z'ënnerbriechen, an d'Zertifikatsprüfung ageschalt ze loossen ass et, wat d'Resultat sënnvoll mécht.

Schrëtt véier: wësst, wat eng eenzeg Weiderleitung net deckt

Eng eenzeg TCP-Weiderleitung deckt eng Destinatiounsport. Eng Säit, déi op en zweeten Hostnumm ëmleet, Ressourcen vun engem Host bannent dem private Netz luedt oder op eng aner Port schéckt, brauch hir eegen Weiderleitung, an jiddwereng vun hinnen brauch déiselwecht Politikprüfung wéi déi éischt. Browser-Aarbechtsflëss bäi hir eegen Ufuerderungen, well dem Browser gesot muss ginn, den richtegen Numm iwwer eng Proxy-Konfiguratioun oder eng lokal Zousetzung op déi lokal Port ze schécken. En erfollegräichen Test op der Kommandozeil beweist also net, datt de Browser et och packt, och wann en de Wee beweist.

UDP, SMB-Entdeckung an Domain-Umeldung ginn iwwerhaapt net duerch eng TCP-Weiderleitung. Wann déi richteg Fuerderung allgemengen Netzzougrëff ass, ass dësen Design dat falscht Instrument an en ënnerstëtzten Fernzougrëffs-Gateway ass deen richtegen.

Schrëtt fënnef: raumt op a schreift et op

Stoppt d'Sessioun, wann den Test fäerdeg ass, a bestätegt, datt de Lauschterer fort ass. Wann déi gewielt Port schonn besat war, wielt eng aner onbenotzt loopback-Port a maacht d'URL, d'Testkommando an d'Notiz zesummen nei, amplaz en onverbonne lokalen Service ze stoppen, fir d'Nummer fräi ze maachen. Eng Weiderleitung op engem Laptop opzeloossen mécht aus enger Diagnos en onverwalteten Service.

Schreift de Spronghost, déi weidergeleet Destinatioun, déi lokal Port an deejenegen, deen d'Arrangement genehmegt huet, op. Eng Weiderleitung, déi just an engem senger Shell-Historique existéiert, ass en Neistart vun enger widderhuelter Enquête ewech, an déi nächst Persoun wäert net wëssen, wéi eng vun den dräi Virbedingungen schonn iwwerpréift gouf.