SSH-ന്റെ പ്രാദേശിക ഫോർവേഡ് TCP OpenVPN സെഷൻ എങ്ങനെ കൊണ്ടുപോകുന്നു

ഇവിടെ മൂന്ന് ഗതാഗത പാളികൾ ഒന്നിനുമേൽ ഒന്നായി വരുന്നു, ഓരോന്നിനും സ്വന്തം ഫ്രെയിമിംഗ് ഉണ്ട്। VPN പേലോഡ് TLS സെഷനുള്ളിൽ സഞ്ചരിക്കുന്നു, ആ TLS സെഷൻ ലൂപ്പ്ബാക്ക് പോർട്ടിലേക്കുള്ള TCP കണക്ഷനുള്ളിൽ സഞ്ചരിക്കുന്നു, ആ കണക്ഷന്റെ ബൈറ്റുകൾ SSH-നുള്ളിൽ റിലേ ഹോസ്റ്റിലേക്ക് സഞ്ചരിക്കുന്നു, അത് VPN ശ്രോതാവിലേക്കുള്ള യഥാർത്ഥ TCP കണക്ഷൻ തുറക്കുന്നു। ഈ ക്രമീകരണത്തിൽ ഒന്നും മാറ്റുന്നില്ല OpenVPN പ്രാമാണീകരിക്കുന്നതിനെ, അതിൽ ഒന്നും UDP ശ്രോതാവിനെ TCP വഴി എത്താവുന്നതാക്കുന്നുമില്ല। ബാക്കിയുള്ളത് ബൈറ്റ് പാതയുടെ വിവരണമായി വായിക്കുക, നെറ്റ്വർക്ക് നിയന്ത്രണം ഒഴിവാക്കാനുള്ള പാചകക്കുറിപ്പായി അല്ല।

പ്രാദേശിക ഫോർവേഡ് യഥാർത്ഥത്തിൽ എന്താണ് നീക്കുന്നത്

SSH ക്ലയന്റ് ഒരു പ്രാദേശിക പോർട്ടിൽ കേൾക്കുന്നു। പ്രാദേശിക പ്രോസസ്സ് കണക്ട് ചെയ്യുമ്പോൾ, ക്ലയന്റ് ബൈറ്റുകൾ അതിന്റെ എൻക്രിപ്റ്റ് ചെയ്ത ചാനലിലേക്ക് പാക്ക് ചെയ്യുന്നു, സർവർ വശം ഫോർവേഡ് അഭ്യർത്ഥനയിൽ പേരിട്ട ലക്ഷ്യത്തിലേക്ക് പുതിയ TCP കണക്ഷൻ തുറക്കുന്നു।

ആ ലക്ഷ്യം റിലേയാണ് പരിഹരിക്കുന്നത്, നിങ്ങളുടെ യന്ത്രമല്ല, അതിനാൽ ദൂര നെറ്റ്വർക്കിനുള്ളിൽ മാത്രം നിലനിൽക്കുന്ന പേരും ഇപ്പോഴും പ്രവർത്തിക്കുന്നു। റിലേ VPN ശ്രോതാവിനെ എത്തിച്ചേരാനും അങ്ങോട്ട് തിരിച്ചുള്ള റൂട്ട് ഉണ്ടാകാനും വേണം എന്നും ഇത് അർത്ഥമാക്കുന്നു। നിങ്ങളുടെ ലാപ്ടോപ്പിൽ പരിഹരിക്കുന്ന പേര് റിലേ എന്ത് കാണാം എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല।

SSH സെഷൻ ആരംഭിക്കുന്നത് റിലേ എത്താവുന്നതും പ്രാമാണീകരിച്ചതുമാണ് എന്ന് മാത്രം തെളിയിക്കുന്നു। അടുത്ത ശ്രോതാവ് പ്രവർത്തിക്കുന്നുണ്ടോ, റിലേയ്ക്കും ശ്രോതാവിനും ഇടയിലുള്ള ഫയർവാൾ കണക്ഷൻ സ്വീകരിക്കുന്നുണ്ടോ, അല്ലെങ്കിൽ VPN നിങ്ങളുടെ പ്രൊഫൈൽ സ്വീകരിക്കുമോ എന്നൊന്നും അത് പറയുന്നില്ല।

ക്ലയന്റിനെ പ്രാദേശിക ശ്രോതാവിലേക്ക് തിരിക്കുക

പ്രഖ്യാപിത ഉദാഹരണം: റിലേയ്ക്ക് gw.internal.example:443-ൽ ഒരു TCP ശ്രോതാവിലേക്ക് എത്താം, ഉയർന്ന പ്രാദേശിക പോർട്ട് ആ പാത ഈ യന്ത്രത്തിന് മാത്രം തുറക്കുന്നു।

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

OpenSSH കൈപ്പുസ്തകം പ്രാദേശിക ഫോർവേഡിനെ TCP കണക്ഷനുകൾ പ്രാദേശികമായി സ്വീകരിക്കുകയും അടുത്ത കണക്ഷൻ ദൂര വശത്തുനിന്ന് തുറക്കുകയും ചെയ്യുന്നതായി വിവരിക്കുന്നു। ശ്രോതാവിനെ എല്ലാ ഇന്റർഫേസുകളിലേക്കും അല്ല, ലൂപ്പ്ബാക്കിലേക്ക് ബന്ധിക്കുക, കാരണം നെറ്റ്വർക്കിൽ നിന്ന് എത്താവുന്ന ഫോർവേഡ് നിങ്ങളുടെ പേരുള്ള തുറന്ന റിലേയാണ്। വൈൽഡ്കാർഡ് ബൈൻഡ് പങ്കിട്ട യന്ത്രത്തിലെ മറ്റേതെങ്കിലും പ്രാദേശിക അക്കൗണ്ടിനും പോർട്ട് തുറക്കുന്നു।

തുടർന്ന് VPN ക്ലയന്റിനെ TCP മോഡിലാക്കി 127.0.0.1:24011-ലേക്ക് തിരിക്കുക। പ്രൊഫൈൽ UDP ഉപയോഗിക്കുന്നുവെങ്കിൽ, ഈ രൂപകൽപ്പന സഹായിക്കില്ല: ഫോർവേഡ് ഒരു ബൈറ്റ് സ്ട്രീം കൊണ്ടുപോകുന്നു, അതിലൂടെ ഡാറ്റാഗ്രാം പാതയില്ല।

രണ്ട് പ്രാമാണീകരണങ്ങളും വേർതിരിച്ച് നിർത്തുക

SSH റിലേ ഹോസ്റ്റിനെ പ്രാമാണീകരിക്കുന്നു। OpenVPN ഇപ്പോഴും VPN പിയറിനെ പ്രാമാണീകരിക്കുന്നു, ലൂപ്പ്ബാക്ക് ലക്ഷ്യം ആ ആവശ്യകത മാറ്റുന്നില്ല। സോക്കറ്റ് ഇപ്പോൾ localhost-ലേക്ക് ചൂണ്ടുന്നതിനാൽ സർട്ടിഫിക്കറ്റ് പരിശോധനകൾ ഓഫ് ചെയ്യുന്നത് ഈ രൂപകൽപ്പനയിലെ ഏറ്റവും മോശം ഷോർട്ട്കട്ടാണ്। അത് ഗതാഗത ക്രമീകരണത്തെ വിശ്വാസ ക്രമീകരണമാക്കി മാറ്റുന്നു, രണ്ടാമത്തേതിന് ആരും അനുമതി നൽകിയിട്ടില്ല।

പ്രൊഫൈലിന്റെ വിശ്വാസ ആങ്കർ, സർവർ റോൾ പരിശോധന, നാമ സ്ഥിരീകരണം എന്നിവ അതേപടി നിലനിർത്തുക। നിങ്ങളുടെ ക്ലയന്റ് സർവർ നാമത്തെ അത് ഡയൽ ചെയ്ത വിലാസവുമായി താരതമ്യം ചെയ്യുന്നുവെങ്കിൽ, ലൂപ്പ്ബാക്കിന് ഓഫ് ചെയ്ത പരിശോധനയ്ക്ക് പകരം വ്യക്തമായ നാമ ക്രമീകരണം ആവശ്യമായേക്കാം, ഏത് ഫീൽഡാണ് താരതമ്യം ചെയ്യുന്നതെന്ന് സ്ഥിരീകരിക്കാനുള്ള സ്ഥലം പ്രൊഫൈൽ ഡോക്യുമെന്റേഷനാണ്।

വിശ്വാസ കഥയിലെ രണ്ടാം കക്ഷിയായി റിലേയെ കാണുക: അതിന്റെ അഡ്മിനിസ്ട്രേറ്റർക്ക് കണക്ഷൻ മെറ്റാഡാറ്റ കാണാനും കോൺഫിഗറേഷൻ മാറ്റിയാൽ ഫോർവേഡ് വഴിതിരിച്ചുവിടാനും കഴിയും। ഈ ക്രമീകരണത്തിന് റിലേയുടെയും VPN സേവന ഉടമയുടെയും അനുമതി വേണം, ഇന്ന് അത് ആവശ്യമുള്ളവരുടെ മാത്രമല്ല।

ടണലിനടിയിൽ ലൂപ്പ് നിർമ്മിക്കരുത്

VPN റൂട്ടുകൾ ഇൻസ്റ്റാൾ ചെയ്തതിന് ശേഷവും അത് കൊണ്ടുപോകുന്ന SSH കണക്ഷന് ടണലിലൂടെ പോകാത്ത റിലേ പാത വേണം। ഡിഫോൾട്ട് റൂട്ട് VPN-ലേക്ക് മാറുകയും റിലേ അതേ ടണലിലൂടെ മാത്രം എത്താവുന്നതുമാണെങ്കിൽ, ഗതാഗതം തകരുന്നു, VPN-ഉം അതിനൊപ്പം പോകുന്നു। പരാജയം റൂട്ടിംഗ് പിശകിനെക്കാൾ വീണ ടണലിനെപ്പോലെ തോന്നുന്നു, അതിനാലാണ് തെറ്റായ രോഗനിർണ്ണയം ഉണ്ടാകുന്നത്।

സാധാരണ പരിഹാരം ടണൽ ഉയരുന്നതിന് മുമ്പ് ഭൗതിക ഇന്റർഫേസിൽ പിൻ ചെയ്ത റിലേ വിലാസത്തിലേക്കുള്ള ഹോസ്റ്റ് റൂട്ടും, വീണ്ടും കണക്ട് ചെയ്താലും റൂട്ട് നിലനിൽക്കുന്നു എന്ന പരിശോധനയുമാണ്। ക്രമം ശരിയായിരുന്നു എന്ന് അനുമാനിക്കുന്നതിന് പകരം റിലേ വിലാസത്തിനായുള്ള റൂട്ട് ലുക്കപ്പ് ഉപയോഗിച്ച് അത് പരിശോധിക്കുക।

ഈ കൂമ്പാരം നേരിട്ടുള്ള കണക്ഷനെക്കാൾ സാവധാനവും ദുർബലവുമാകുമെന്ന് പ്രതീക്ഷിക്കുക, കാരണം ഇപ്പോൾ രണ്ട് ക്രമീകരിച്ച ഗതാഗതങ്ങളും പരിപാലിക്കാനുള്ള മറ്റൊരു അന്തിമ ബിന്ദുവും ഉണ്ട്। ഇത് നെറ്റ്വർക്ക് അതിർത്തി കടക്കാനുള്ള മാർഗമാണ്, പ്രകടന സാങ്കേതികതയല്ല।

തീർന്നാൽ ശ്രോതാവ് അടയ്ക്കുക

ടണൽ ഇനി ആവശ്യമില്ലാത്തപ്പോൾ SSH സെഷൻ നിർത്തുക, പ്രാദേശിക പോർട്ട് വിട്ടുകിട്ടിയെന്ന് ഉറപ്പാക്കുക। മറന്ന ഫോർവേഡ് പങ്കിടാവുന്ന ഒരു യന്ത്രത്തിൽ പ്രാമാണീകരിച്ച പാത തുറന്നിടുന്നു।

റിലേയുടെ അനുവദിച്ച ഫോർവേഡ് ലക്ഷ്യങ്ങളും പരിശോധിക്കുക, കാരണം അനുവദനീയമായ കോൺഫിഗറേഷൻ വീഴ്ചയേറ്റ ഏത് അക്കൗണ്ടിനെയും പൊതു താങ്ങാക്കി മാറ്റുന്നു। പോർട്ട്, റിലേ, ലക്ഷ്യം എന്നിവ ഒരുമിച്ച് രേഖപ്പെടുത്തുക, അടുത്ത വ്യക്തിക്ക് ഫോർവേഡ് എന്തിനായിരുന്നു, ഇപ്പോഴും അനുവദിച്ചതാണോ എന്ന് അറിയാൻ।