SSH lokal Weiderleitung op en bestehenden HTTP-Proxy: zwou Loopback-Adressen

Ären ugehollene Proxy leeft op engem Spronghost, wou en nëmmen op Loopback lauschtert, sou datt näischt ausserhalb vun där Maschinn en erreeche kann. Dir braucht kee VPN an och keen neie Proxy; dir braucht ee Port vun där Maschinn, deen op ee vun Äre Porte gedroe gëtt. Eng lokal Weiderleitung mécht genau dat, an et brauch een Uerder plus eng Astellung vun der Applikatioun. D’Verwierung kënnt meeschtens dohier, datt ee verwiesselt, wéi eng Loopback-Adress zu wéi enger Maschinn gehéiert.

Entscheet, ob et schonn ee feste Proxy gëtt

Dës Technik leet en Déngscht weider, dee schonn leeft. Wann deen entfernten Host just en SSH-Daemon huet an keen Proxy, da schaaft keng Quantitéit u Weiderleitung en, an d’Verbindung gëtt vun der entfernter Säit ofgeleent. Bestätegt, datt de Proxy gebonne ass, wat säi Port ass an ob en op 127.0.0.1 oder op enger bestëmmter Interface-Adress lauschtert, well déi Adress ass d’Zil, op dat d’Weiderleitung muss zielen.

Wann Dir dat fir d’éischt bestätegt, spuert Dir Iech d’Debugge vun engem Tunnel, deen ni mat eppes verbonne war.

Baut d’Weiderleitung a liest den Uerder

D’Form, déi Dir wëllt, bindet ee Loopback-Port op Ärem Laptop a verbënnt en, vun der Serversäit, mat der Adress vum Proxy, sou wéi de Server se gesäit.

ssh -NT -o ControlPath=none -o ExitOnForwardFailure=yes \
  -L 127.0.0.1:13128:127.0.0.1:3128 [email protected]

-N ënnerdréckt en entfernten Uerder an -T ënnerdréckt d’Termios-Zeelung, well Dir wëllt een Tunnel an net eng Shell. Déi éischt Loopback-Adress ass do, wou de Laptop lauschtert; déi zweet gëtt vum SSH-Server opgeléist, also heescht 127.0.0.1 do de Proxy op där Maschinn. ExitOnForwardFailure léisst den Uerder haart feelen, wann de lokale Port schonn besat ass, amplaz eng Sëtzung ze starten, déi näischt weiderleet. Schreift d’Zieladress sou, wéi de Server se opléist, well en Numm, deen nëmmen Äre Laptop opléise kann, op der anerer Säit wäert feelen.

D’Politik vum Server selwer gilt, ier eppes dovun funktionéiert. AllowTcpForwarding muss et erlaben, an PermitOpen ka limitéieren, wéi eng Ziler a Porten eng Sëtzung erreeche kann, also kann eng Weiderleitung, déi de Client acceptéiert, vum Server trotzdem ofgeleent ginn. D’Ofleeung erschéngt als Weiderleitungs- oder Kanalgehler beim Client, an déi Noriicht ze liesen ass méi séier wéi den Uerder z’änneren.

Riicht eng Applikatioun op d’Weiderleitung

Konfiguréiert d’Applikatioun, fir en HTTP-Proxy op http://127.0.0.1:13128 ze benotzen, mat Umellungsdaten, wann deen entfernten Proxy se verlaangt. Halt d’eegen Zertifikatsprüfung vun der Applikatioun fir HTTPS-Ziler bäi, well den Proxy-Tunnel se net ersetzt. Dëst ass eng fest Weiderleitung vun engem Déngscht, also muss der Applikatioun gesot ginn, datt et ee Proxy gëtt, amplaz se een selwer entdecke ze loossen.

Eng séier Prüfung, ier Dir eppes Permanentes konfiguréiert: curl -x http://127.0.0.1:13128 -I https://example.com, wat d’HTTP-CONNECT-Method übt, déi de Proxy muss ënnerstëtzen.

Halt d’Autoritéit do, wou se war

Den entfernten Proxy entscheet weiderhin, wéi eng Ziler a Methoden en erlaabt, an eng SSH-Umeldung soll net stillech all Kont en allgemengt Web-Relay ginn. D’Bindung op 127.0.0.1 um Laptop verhënnert, datt de Port an Ärem lokalen Netz bekannt gëtt, an et mécht de Port net privat vis-à-vis vun aneren Prozessen op der selwechter Maschinn. Dës Bindung duerch eng Wildcard-Adress z’ersetzen, fir de Proxy ze deelen, ass de Wee, wéi en onverwalteten oppene Relay entsteet.

Den SSH-Transport schützt de Sprong zum Server. Hannert deem Punkt mécht de Proxy seng eege Verbindung op, also bleift eng einfach HTTP-Ufro un en Zil hannert dem Server einfach, och wann den éischten Deel verschlësselt war.

Iwwerpréift béid Enner a raumt dann op

Lokalen Tunnelopbau an den Erfolleg vum entfernten Déngscht sinn ënnerschiddlech Resultater, an den Exit-Status vum Uerder seet Iech nëmmen iwwer dat éischt. Préift mat ss -ltn, ob de Lauschterer existéiert, a maacht dann eng erlaabte Applikatiounsufro an eng Ufro, déi de Proxy sollt ofleenen. Wann déi zwou sech erwaarde verhalen, ass de Wee richteg; wann den Tunnel steet an all Ufro feelt, leent de Proxy of oder erreecht d’Zil net.

Wann Dir fäerdeg sidd, stoppt de besëtzenden SSH-Prozess, hëlt d’Proxy-Astellung aus der Applikatioun eraus a bestätegt, datt de lokale Port fort ass, amplaz ee Lauschterer ze hannerloossen, deen d’Aufgab iwwerlieft.