NetworkManager-ssh rāda savienojumu, bet nekas netiek maršrutēts
Indikators pierāda tikai to, ka pastāv pārvaldītā SSH attiecība. Pārbaudiet, vai spraudnis izveidoja tuneļa ierīci vai pāradresāciju kopu, pēc tam pārbaudiet lietotnes ceļu.
Izvēlne rāda SSH savienojumu kā aktīvu, saimniekdatora atslēga tika pieņemta, un pārlūks joprojām nesasniedz neko, ko tam vajadzēja sasniegt. Tā nav pretruna, jo NetworkManager-ssh profils no viena un tā paša saimniekdatora un atslēgas var iegūt divus pilnīgi atšķirīgus rezultātus: tuneļa ierīci, kas pārvadā paketes, vai pāradresāciju kopu, ko var izmantot tikai noteiktas lietotnes. Indikators ziņo, ka pārvaldītā SSH attiecība pastāv. Tas nekad neziņo, kuru no abiem jūs saņēmāt.
Divi rezultāti aiz viena izvēlnes vienuma
Abi režīmi autentificējas vienādi, un tieši tāpēc tie tiek sajaukti. Izvēloties profilu tieši tāpat, ar tiem pašiem akreditācijas datiem, jums var palikt saskarne, pa kuru var maršrutēt, vai klausoša ligzda, par kuru jāinformē viena lietotne.
Sāciet ar lēmumu, kāds rezultāts uzdevumam patiešām vajadzīgs. Visas apakštīkla sasniedzamības prasībai vajadzīga ierīce. Vienam pakalpojumam attālā saimniekdatorā vajadzīga pāradresācija, un tuneļa būvēšana tam parasti rada vairāk maršrutēšanas darba, nekā problēma bija pelnījusi.
Kas katram režīmam jābūt pirms tas darbojas
Projekts dokumentē abus režīmus, un priekšnosacījumi atšķiras tik ļoti, ka trūkstošais izskatās pēc protokola kļūmes, nevis dizaina izvēles.
| Mode | What must exist | What still has to be true |
|---|---|---|
| Tunnel device | Compatible TUN/TAP arrangement on both ends, permission, addressing | A route policy that actually sends the intended prefixes into it |
| Forwarding only | A chosen SOCKS, local-forward or remote-forward listener | A permitted destination path on the far side |
Uzmanīgi izlasiet labo kolonnu, jo tur beidzas lielākā daļa šādu pieteikumu. Pat perfekti uzbūvēta tuneļa ierīce aptver tikai to, ko maršrutēšana tajā sūta, un pat perfekta pāradresācija palīdz tikai tām lietotnēm, kurām teikts to izmantot.
Fiktīvā saskarne nav tunelis
Pāradresācijas režīmā spraudnis dokumentē fiktīvu saskarni, kas tiek izveidota, lai apmierinātu savienojuma modeli. Tā pastāv, lai pārvaldniekam būtu kam pievienot stāvokli. Tā nepārvadā patvaļīgas lietotņu paketes uz attālo tīklu, un nekas tās klātbūtnē nenozīmē, ka IP maršrutēšana ir mainījusies.
Projekta pilnā tuneļa piemēri attiecas uz OpenSSH tuneļa ierīces atbalstu, tāpēc vārds tunelis uz etiķetes apraksta iespēju, nevis jūsu faktisko politiku. Pārbaudiet, ko darīs kodols, nevis kā profils saucas.
nmcli connection show --active
ip -br link
ss -lntp | grep -E "1080|8080"Pēc tam saskaņojiet rezultātu ar lietotni. Programmai, kas saprot SOCKS, jābūt konfigurētai izmantot starpniekserveri. Vietējās pāradresācijas lietotājam jābūt novirzītam uz savu klausītāju. Neviens no tiem pats neatklāj pāradresāciju, un nevienam nepalīdz zaļš kļuvušais savienojuma indikators.
Sagatavojiet attālo pusi, nevis piespiediet to
Parasts SSH konts var autentificēties bez atļaujas pacelt attālu tuneļa ierīci. Projekts dokumentē ceļu bez root tiesībām, kur administrators iepriekš izveido ierīci konkrētajam lietotājam, un klients pēc tam izvēlas atbilstošo numuru.
Šāds izkārtojums prasa saskaņošanu ar servera tuneļa politiku un ar to, kam pieder adresācija attālajā tīklā. Ierīces izveide pati par sevi nedod resursu maršrutus, pāradresācijas atļaujas vai atpakaļceļu, un nekas no tā neparādās tāpēc, ka parauga konfigurācija izskatījās pārliecinoša.
Tas, ko nevajadzētu darīt, ir iespējot neierobežotu pāradresāciju vai attālu root pieteikšanos, lai paraugs darbotos. Kur operators pārvalda attālā tīkla iestatīšanu, izmantojiet atbalstīto izkārtojumu, lai atstātu šīs komandas tam īpašniekam, un izvairieties no otra palīga, kas atvienošanas laikā atjauno pretrunīgas adreses.
Autentifikācijas konteksts un ko rakstīt pieteikumā
Autentifikācijai ir savs konteksts. Spraudnis meklē SSH aģentu, kas saistīts ar lietotāja sesiju, un pieprasa, lai galamērķa saimniekdators būtu zināms, tāpēc atslēga, kas darbojas vienā terminālī, automātiski nekļūst redzama pārvaldnieka autentifikācijas ceļā. Lieciet saimniekdatora atslēgu reģistrēt un pārbaudīt apstiprinātajā procesā, nevis izslēdziet pārbaudi.
Atbalstam pierakstiet četras lietas: spraudni un versiju, izvēlēto režīmu, paredzēto attālo identitāti un saskarni vai klausītāju, kam bija jāparādās. Pēc tam tieši pārbaudiet lietotnes ieejas punktu. Savienots indikators kopā ar strādājošu testu ir pierādījums; tikai savienots indikators ir apgalvojums par SSH, nevis par maršrutēšanu vai resursa atļauju, ko mēģinājāt iegūt.