Алсын Pi-д SSH клиентээрээ SOCKS прокси өгөх

Алсын динамик дамжуулалт SOCKS сонсогчийг Pi дээр байрлуулж, дараагийн холболтыг зөвлөмжийн VPN замаас гаргана. Хоёр дахь SSH сервер шаардлагагүй.

Та SOCKS прокси сүлжээний хандалт аль хэдийн байгаа газарт ажиллах ёстой гэж боддог. OpenSSH сонсогчийг огт өөр газар байрлуулж чадна. Алсын динамик дамжуулалт нь алсын хост дээр SOCKS портыг нээж, холболт бүрийг зөвлөмжийн VPN замыг зөөдөг таны локал SSH клиентээс эхлүүлдэг. Pi хязгаарлагдмал прокси авдаг; энэ нь таны туннель эсвэл эрх мэдлийг өвлөхгүй.

Сонсогч болон холболт эхлэх тал өөр байж болно

Энгийн ssh -D 1080 сонсогчийг таны өөрийн машин дээр ажиллуулж, холболтыг тэндээс илгээдэг. Алсын динамик дамжуулалт үүнийг эргүүлдэг: сонсогч алсын хост дээр гарч ирэх ба түүний хүлээн авсан холболт бүр локал талаас нээгддэг. OpenSSH клиентийн гарын авлага нь тогтмол очих газрыгүй -R-г яг энэ SOCKS4/5 зохион байгуулалт гэж бичсэн байдаг.

Зөөврийн компьютерээс дэмжигдсэн команд ийм харагдана, бүртгэл, хостууд болон портыг орлуулагч гэж үзнэ:

ssh -NT -S none -o ExitOnForwardFailure=yes \
  -o PermitRemoteOpen=app.corp.example:443 \
  -R 1080 [email protected]

Тэнд гурван зүйл ашигтай ажил хийдэг. -S none сессийг хуваалцсан удирдлагын мастерээс хол байлгадаг, ExitOnForwardFailure таныг хагас нээлттэй сессийг орхихын оронд хурдан бүтэлгүйтдэг, PermitRemoteOpen алсын сонсогчийн хүрэх хязгаарыг тогтоодог. Зөвшөөрөгдсөн Pi бүртгэл ашиглаж, эдгээрийн аль нэгийг нэмэхийн өмнө хост түлхүүрийг шалгана уу.

Алсын сонсогч үнэндээ юуг ил гаргадаг вэ

Сонсогчдод найдахын өмнө серверийн дамжуулалтын бодлогыг шалгана уу. GatewayPorts no тохиргоогоор алсын дамжуулалт loopback-д уягдсан хэвээр байх бөгөөд энэ нь таны хүсэж буй илрэл юм. Олон тэмдэгтийн дамжуулалтыг албадах сервер ижил портыг интерфейс бүр дээр нийтэлдэг нь хувийн проксийг локал сүлжээнд хүрч болох зүйл болгоно.

Loopback нь мөн хэрэглэгч тутмын хил биш. Pi дээрх өөр процесс портыг мэдвэл 127.0.0.1:1080-т холбогдож болох тул Pi-ийн локал бүртгэлүүд болон түүн дээр ажиллаж буй бүхэн таны нэвтрэх загварын хэсэг юм. Энэ нь очих газрын жагсаалтыг нарийн байлгах шалтгаан, бодлогын шалгалтыг алгасах шалтгаан биш.

Зөвшөөрөгдсөн очих газрыг таны хүрэх гэж буй аппликейшнт онцгой байлга. Үүнийг хязгааргүй дамжуулалтаар сольж, холбоогүй програм ажиллуулах нь аль хэдийн эхэлсэн асуудлаас хамаагүй хол зам тэлнэ. Очих газрын жагсаалт нь сессийг юунд зориулсныг ч бүртгэдэг бөгөөд энэ нь дараа нь аудит хийх хүнд тусална. Үүнийг ашигласан бүртгэлийнхээ дэргэд бич.

Нэг аппликейшныг проксигоор дамжуул

Pi дээрх проксийг ойлгодог клиент дараа нь хүсэлт гаргаж болно. socks5h угтвар нь очих газрын нэрийг проксид өгдөг тул хайлт болон холболт хоёулаа зөөврийн компьютерийн тал дээр явагдах бөгөөд PermitRemoteOpen дээр дурдсан очих газартай тохирно:

curl --proxy socks5h://127.0.0.1:1080 \
  --noproxy '' https://app.corp.example/

Энгийн гэрчилгээний баталгаажуулалт болон аппликейшны өөрийн нэвтрүүлэлтийг хадгал. Прокси нь TCP холболт хаана үүсэхийг өөрчилдөг; энэ нь нэвтрүүлэлтгүй үйлчилгээг аюулгүй болгохгүй бөгөөд өөрөө гарын үсэг зурсан төгсгөлийн цэгийг итгэмжлэлтэй болгохгүй.

Зөөврийн компьютерт SSH сервер болон аппликейшн хоёуланд нь өөрийн маршрут, шийдвэрлэгчийн хандалт хэрэгтэй хэвээр. Түүний SSH клиентийн урсгалыг зөвлөмжийн VPN бодлогоор сонгох ёстой бөгөөд split-tunnel үл хамаарах зүйл уг урсгалыг таны туршисан замаас өөр замаар илгээж болно.

Замыг баталж, хаа

Сонсогч таны хүлээж буй газар байгаа бөгөөд зөвхөн зориулсан очих газар хариулж байгааг батал:

$ ss -ltnp | grep 1080
LISTEN 0 128 127.0.0.1:1080 0.0.0.0:*
$ curl -sS -o /dev/null -w '%{http_code}\n' \
    --proxy socks5h://127.0.0.1:1080 https://app.corp.example/

ExitOnForwardFailure дамжуулалт тогтоогдсоныг баталж чадна, гэвч аппликейшнд нэвтрэх нь доошоо амжилттай болохыг баталгаажуулж чадахгүй. Зөвхөн порт биш, аппликейшныг турш. Хүлээн аваад дараа нь хүсэлт бүрийг бүтэлгүйтүүлдэг сонсогч нь ихэвчлэн туннель бүтэлгүйтсэн биш, очих газрын нэр эсвэл зөөврийн компьютерийн зам буруу гэсэн үг.

Энэ зохион байгуулалт зөвхөн TCP зөөдөг. UDP, ICMP болон прокси тохиргоог үл тоомсорлодог програмууд түүнээс гадуур үлддэг бөгөөд SSH сесс дуусах тэр мөчид дамжуулалт дуусна. Ажил дууссаны дараа тэр сессийг зогсоож, аппликейшнд нэмсэн прокси тохиргоог хас.

Байнгын хандалтын хувьд оронд нь сүлжээний эзэмшигчийн дэмжсэн бүртгэл эсвэл удирдлагатай гарцыг ашигла. VPN-ийн төхөөрөмж эсвэл нөөцийн хязгаарлалтыг тойрохэд урвуу прокси буруу хэрэгсэл; тэдгээрийн дотор ашиглавал тодорхой хязгаартай нэг эрх бүхий аппликейшны зам төдий.

Холбоотой нийтлэлүүд