तुमच्या SSH क्लायंटद्वारे दूरच्या Pi ला SOCKS प्रॉक्सी द्या

दूरस्थ गतिमान फॉरवर्ड SOCKS श्रोता Pi वर ठेवतो आणि पुढील कनेक्शन तुमच्या लॅपटॉपच्या मंजूर VPN मार्गातून करतो. दुसऱ्या SSH सर्व्हरची गरज नाही.

SOCKS प्रॉक्सी जिथे नेटवर्क प्रवेश आधीच आहे तिथेच चालले पाहिजे असे तुम्ही गृहीत धरता. OpenSSH श्रोता पूर्णपणे दुसऱ्या ठिकाणी ठेवू शकतो. दूरस्थ गतिमान फॉरवर्ड दूरच्या होस्टवर SOCKS पोर्ट उघडतो आणि प्रत्येक कनेक्शन तुमच्या स्थानिक SSH क्लायंटपासून सुरू करतो, जो तुमच्या लॅपटॉपचा मंजूर VPN मार्ग वाहतो. Pi ला मर्यादित प्रॉक्सी मिळते; ते तुमची टनेल किंवा तुमचे विशेषाधिकार वारसाने घेत नाही.

श्रोता आणि कनेक्शन सुरू होणारी बाजू वेगळी असू शकते

सामान्य ssh -D 1080 श्रोता तुमच्या स्वतःच्या मशीनवर चालवतो आणि तिथून कनेक्शन पाठवतो. दूरस्थ गतिमान फॉरवर्ड हे उलट करतो: श्रोता दूरच्या होस्टवर दिसतो आणि तो स्वीकारतो ते प्रत्येक कनेक्शन स्थानिक बाजूने उघडले जाते. OpenSSH क्लायंट मॅन्युअल निश्चित गंतव्याशिवाय -R ला नेमकी ही SOCKS4/5 रचना म्हणून नोंदवते.

लॅपटॉपवरून समर्थित आदेश असा दिसतो, ज्यात खाते, होस्ट आणि पोर्ट प्लेसहोल्डर मानले जातात:

ssh -NT -S none -o ExitOnForwardFailure=yes \
  -o PermitRemoteOpen=app.corp.example:443 \
  -R 1080 [email protected]

तिथे तीन तपशील उपयुक्त काम करतात. -S none सत्राला सामायिक नियंत्रण मास्टरपासून दूर ठेवतो, ExitOnForwardFailure तुम्हाला अर्धे उघडे सत्र सोडण्याऐवजी लवकर अयशस्वी होतो, आणि PermitRemoteOpen दूरचा श्रोता कुठपर्यंत पोहोचू शकतो हे मर्यादित करतो. अधिकृत Pi खाते वापरा आणि यापैकी काहीही जोडण्यापूर्वी होस्ट की सत्यापित करा.

दूरचा श्रोता प्रत्यक्षात काय उघड करतो

श्रोत्यावर विसंबून राहण्यापूर्वी सर्व्हरचे फॉरवर्डिंग धोरण तपासा. GatewayPorts no सह दूरस्थ फॉरवर्ड loopback ला बांधलेला राहतो आणि तोच तुम्हाला हवा असलेला प्रदर्शनाचा दर आहे. वाइल्डकार्ड फॉरवर्डिंग लादण्यासाठी संरचित सर्व्हर तोच पोर्ट प्रत्येक इंटरफेसवर प्रकाशित करतो, ज्यामुळे वैयक्तिक प्रॉक्सी स्थानिक नेटवर्कला पोहोचू शकेल अशी गोष्ट बनते.

loopback देखील प्रति-वापरकर्ता सीमा नाही. Pi वरील दुसरी प्रक्रिया पोर्ट माहीत असल्यास 127.0.0.1:1080 ला जोडू शकते, म्हणून Pi ची स्थानिक खाती आणि त्यावर चालणारे सर्व काही तुमच्या प्रवेश-रचनेचा भाग आहे. हे गंतव्यांची यादी अरुंद ठेवण्याचे कारण आहे, धोरण तपासणी वगळण्याचे कारण नाही.

तुम्ही पोहोचू इच्छित असलेल्या अनुप्रयोगासाठी अनुमत गंतव्य विशिष्ट ठेवा. असंबंधित कार्यक्रम चालावा म्हणून त्याऐवजी अमर्यादित फॉरवर्डिंग वापरणे तुम्ही सुरू केलेल्या समस्येपेक्षा खूप पुढे मार्ग रुंदावते. गंतव्यांची यादी सत्र कशासाठी होते हे देखील नोंदवते, जे नंतर त्याचे ऑडिट करणाऱ्याला मदत करते. तुम्ही वापरलेल्या खात्याच्या शेजारी ते लिहा.

एक अनुप्रयोग प्रॉक्सीतून पाठवा

Pi वरचा प्रॉक्सी समजणारा क्लायंट नंतर विनंती करू शकतो. socks5h उपसर्ग गंतव्याचे नाव प्रॉक्सीला देतो, त्यामुळे शोध आणि कनेक्शन दोन्ही लॅपटॉपच्या बाजूने होतात, आणि ते PermitRemoteOpen मधील नामनिर्देशित गंतव्याशी जुळते:

curl --proxy socks5h://127.0.0.1:1080 \
  --noproxy '' https://app.corp.example/

नेहमीची प्रमाणपत्र पडताळणी आणि अनुप्रयोगाचे स्वतःचे प्रमाणीकरण टिकवून ठेवा. प्रॉक्सी TCP कनेक्शन कुठे तयार होते ते बदलते; ते प्रमाणीकरण नसलेल्या सेवेला सुरक्षित करत नाही आणि स्व-स्वाक्षरी केलेल्या टोकाला विश्वासार्ह करत नाही.

लॅपटॉपला अजूनही स्वतःचा मार्ग आणि SSH सर्व्हर तसेच अनुप्रयोग दोन्हींसाठी रिझोल्व्हर प्रवेश लागतो. त्याच्या SSH क्लायंटचा रहदारी मंजूर VPN धोरणाने निवडला गेला पाहिजे, आणि split-tunnel वगळणी ती रहदारी तुम्ही तपासलेल्या मार्गापेक्षा वेगळ्या मार्गाने पाठवू शकते.

मार्ग सिद्ध करा आणि तो बंद करा

श्रोता तुम्ही अपेक्षित असलेल्या ठिकाणी आहे आणि फक्त इच्छित गंतव्यच उत्तर देते याची खात्री करा:

$ ss -ltnp | grep 1080
LISTEN 0 128 127.0.0.1:1080 0.0.0.0:*
$ curl -sS -o /dev/null -w '%{http_code}\n' \
    --proxy socks5h://127.0.0.1:1080 https://app.corp.example/

ExitOnForwardFailure फॉरवर्डिंग प्रस्थापित झाले हे सिद्ध करू शकतो, आणि तरीही अनुप्रयोगातील लॉगिन पुढे यशस्वी होईल याची खात्री देऊ शकत नाही. फक्त पोर्ट नाही, अनुप्रयोग तपासा. स्वीकारून नंतर प्रत्येक विनंती अयशस्वी करणारा श्रोता सहसा असे दर्शवतो की टनेल अयशस्वी झाली नाही, तर गंतव्याचे नाव किंवा लॅपटॉपचा मार्ग चुकीचा आहे.

ही रचना फक्त TCP वाहते. UDP, ICMP आणि प्रॉक्सी सेटिंग्ज दुर्लक्षित करणारे कार्यक्रम त्याच्या बाहेर राहतात, आणि SSH सत्र संपले त्या क्षणी फॉरवर्डिंग संपते. काम झाल्यावर ते सत्र थांबवा आणि अनुप्रयोगात जोडलेली प्रॉक्सी सेटिंग काढून टाका.

कायमस्वरूपी प्रवेशासाठी त्याऐवजी नेटवर्क मालकाची समर्थित नोंदणी किंवा व्यवस्थापित गेटवे वापरा. VPN च्या उपकरण किंवा संसाधन निर्बंधांना चुकवण्यासाठी रिव्हर्स प्रॉक्सी चुकीचे साधन आहे; त्या निर्बंधांच्या आत वापरल्यास ते स्पष्ट मर्यादा असलेला एकच अधिकृत अनुप्रयोग मार्ग आहे.

संबंधित लेख