NetworkManager-ssh rodo prisijungimą, bet niekas nėra maršrutizuojama
Indikatorius tik įrodo, kad valdomas SSH ryšys egzistuoja. Patikrinkite, ar įskiepis sukūrė tunelio įrenginį, ar peradresavimų rinkinį, tada išbandykite programos kelią.
Meniu rodo SSH ryšį kaip aktyvų, prieglobos raktas buvo priimtas, o naršyklė vis tiek nepasiekia nieko, ką turėjo pasiekti. Tai ne prieštaravimas, nes NetworkManager-ssh profilis gali duoti du visiškai skirtingus rezultatus iš to paties prieglobos ir to paties rakto: tunelio įrenginį, kuris neša paketus, arba peradresavimų rinkinį, kurį gali naudoti tik tam tikros programos. Indikatorius praneša, kad valdomas SSH ryšys egzistuoja. Jis niekada nepraneša, kurį iš dviejų gavote.
Du rezultatai už vieno meniu punkto
Abu režimai autentifikuoja vienodai, ir būtent todėl jie painiojami. Pasirinkus profilį lygiai taip pat, su tais pačiais prisijungimo duomenimis, galite likti su sąsaja, per kurią galima maršrutizuoti, arba su klausančiu lizdu, apie kurį reikia informuoti vieną programą.
Pradėkite nuo sprendimo, kokio rezultato užduočiai iš tikrųjų reikia. Viso potinklio pasiekiamumo reikalavimui reikia įrenginio. Vienai paslaugai nuotoliniame prieglobos reikia peradresavimo, o tunelio jai statymas paprastai sukuria daugiau maršrutizavimo darbo, nei problema nusipelnė.
Ką kiekvienas režimas turi turėti prieš pradėdamas veikti
Projektas dokumentuoja abu režimus, o išankstinės sąlygos skiriasi tiek, kad trūkstama atrodo kaip protokolo gedimas, o ne dizaino sprendimas.
| Mode | What must exist | What still has to be true |
|---|---|---|
| Tunnel device | Compatible TUN/TAP arrangement on both ends, permission, addressing | A route policy that actually sends the intended prefixes into it |
| Forwarding only | A chosen SOCKS, local-forward or remote-forward listener | A permitted destination path on the far side |
Atidžiai perskaitykite dešinįjį stulpelį, nes ten baigiasi dauguma tokių užklausų. Net tobuloje tunelio įrenginyje telpa tik tai, ką maršrutizavimas į jį siunčia, o net tobulas peradresavimas padeda tik toms programoms, kurioms buvo pasakyta jį naudoti.
Fiktyvioji sąsaja nėra tunelis
Peradresavimo režimu įskiepis dokumentuoja fiktyvią sąsają, sukuriamą ryšio modeliui patenkinti. Ji egzistuoja, kad valdytojas turėtų prie ko priskirti būseną. Ji neperneša savavališkų programų paketų į nuotolinį tinklą, ir niekas jos buvime nereiškia, kad IP maršrutizavimas pasikeitė.
Projekto viso tunelio pavyzdžiai susiję su OpenSSH tunelio įrenginio palaikymu, todėl žymoje esantis žodis tunelis apibūdina galimybę, o ne jūsų faktinę politiką. Tikrinkite, ką darys branduolys, o ne kaip profilas vadinasi.
nmcli connection show --active
ip -br link
ss -lntp | grep -E "1080|8080"Tada priskirkite rezultatą programai. SOCKS suprantanti programa turi būti sukonfigūruota naudoti tarpinį serverį. Vietinio peradresavimo vartotojas turi būti nukreiptas į savo klausytoją. Nė vienas jų neaptinka peradresavimo pats, ir nė vienam nepadeda žaliu tapęs ryšio indikatorius.
Paruoškite nuotolinę pusę, o ne verskite ją
Įprasta SSH paskyra gali autentifikuotis be jokio leidimo pakelti nuotolinį tunelio įrenginį. Projektas dokumentuoja kelią be root teisių, kai administratorius iš anksto sukuria įrenginį tam naudotojui, o klientas tada pasirenka atitinkamą numerį.
Tokia tvarka reikalauja derinimo su serverio tunelio politika ir su tuo, kas valdo adresaciją nuotoliniame tinkle. Įrenginio sukūrimas savaime nesuteikia išteklių maršrutų, peradresavimo leidimų ar grįžimo kelio, ir niekas iš to neatsiranda todėl, kad pavyzdinė konfigūracija atrodė įtikinamai.
Ko neturėtumėte daryti, tai įjungti neribotą peradresavimą ar nuotolinį root prisijungimą, kad pavyzdys veiktų. Kai operatorius valdo nuotolinio tinklo sąranką, naudokite palaikomą tvarką tiems įsakymams palikti tam savininkui, ir venkite antro padėjėjo, kuris atjungiant atstato prieštaringus adresus.
Autentifikacijos kontekstas ir ką rašyti užklausoje
Autentifikacija turi savo kontekstą. Įskiepis ieško SSH agento, susieto su naudotojo sesija, ir reikalauja, kad paskirties priegloba būtų žinoma, todėl viename terminale veikiantis raktas automatiškai netampa matomas valdytojo autentifikacijos kelyje. Užregistruokite ir patikrinkite prieglobos raktą per patvirtintą procesą, o ne išjunkite patikrinimą.
Pagalbai užrašykite keturis dalykus: įskiepį ir versiją, pasirinktą režimą, numatomą nuotolinę tapatybę ir sąsają ar klausytoją, kuris turėjo atsirasti. Tada tiesiogiai išbandykite programos įėjimo tašką. Prisijungęs indikatorius kartu su veikiančiu testu yra įrodymas; vien prisijungęs indikatorius yra teiginys apie SSH, o ne apie maršrutizavimą ar ištekliaus leidimą, kurį bandėte gauti.