Agħti lil Pi mill-bogħod proxy SOCKS permezz tal-klijent SSH tiegħek

Rilaxx dinamiku mill-bogħod iqiegħed is-semmiegħa SOCKS fuq il-Pi u jagħmel il-konnessjoni li jmiss mill-passaġġ VPN approvat tal-laptop tiegħek. Mingħajr tieni server SSH.

Int tassumi li proxy SOCKS irid jaħdem fejn l-aċċess għan-netwerk diġà jeżisti. OpenSSH jista' jqiegħed is-semmiegħa f'post kompletament ieħor. Rilaxx dinamiku mill-bogħod jiftaħ il-port SOCKS fuq host mill-bogħod u jibda kull konnessjoni mill-klijent SSH lokali tiegħek, li jġorr il-passaġġ VPN approvat tal-laptop tiegħek. Il-Pi jikseb proxy limitat; ma jirtix it-tunnel jew il-privileġġi tiegħek.

Is-semmiegħa u n-naħa minn fejn tinħoloq il-konnessjoni jistgħu jkunu differenti

ssh -D 1080 ordinarju jħaddem is-semmiegħa fuq il-magna tiegħek stess u jibgħat il-konnessjonijiet minn hemm. Rilaxx dinamiku mill-bogħod jaqleb dan: is-semmiegħa tidher fuq il-host mill-bogħod, u kull konnessjoni li taċċetta tinfetaħ min-naħa lokali. Il-manwal tal-klijent OpenSSH jiddokumenta -R mingħajr destinazzjoni fissa eżattament bħala dan l-arranġament SOCKS4/5.

Kmand appoġġjat mil-laptop jidher hekk, bil-kont, il-hosts u l-port meqjusa bħala sostituti:

ssh -NT -S none -o ExitOnForwardFailure=yes \
  -o PermitRemoteOpen=app.corp.example:443 \
  -R 1080 [email protected]

Tliet dettalji jagħmlu xogħol utli hemmhekk. -S none iżomm is-sessjoni 'l bogħod minn master ta' kontroll kondiviż, ExitOnForwardFailure ifalli malajr minflok ma jħallik b'sessjoni nofsha miftuħa, u PermitRemoteOpen jillimita sa fejn tista' tasal is-semmiegħa mill-bogħod. Uża kont Pi awtorizzat u vverifika ċ-ċavetta tal-host qabel ma żżid xi ħaġa minn dan.

X'inhuma verament jesponi s-semmiegħa mill-bogħod

Iċċekkja l-politika tar-rilaxx tas-server qabel ma tiddependi fuq is-semmiegħa. B'GatewayPorts no ir-rilaxx mill-bogħod jibqa' marbut ma' loopback, u dik hija l-espożizzjoni li trid. Server ikkonfigurat biex iġġiegħel rilaxx wildcard jippubblika l-istess port fuq kull interface, li jbiddel proxy personali f'xi ħaġa li n-netwerk lokali jista' jasal għaliha.

Loopback lanqas mhuwa konfini għal kull utent. Proċess ieħor fuq il-Pi jista' jgħaqqad ma' 127.0.0.1:1080 jekk jaf il-port, għalhekk il-kontijiet lokali tal-Pi u kull ma jmur fuqu huma parti mid-disinn tal-aċċess tiegħek. Din hija raġuni biex iżżomm il-lista tad-destinazzjonijiet dejqa, mhux raġuni biex taqbeż il-verifika tal-politika.

Żomm id-destinazzjoni permessa speċifika għall-applikazzjoni li qed tipprova tilħaq. Is-sostituzzjoni tagħha b'rilaxx mingħajr restrizzjoni biex jaħdem programm mhux relatat twessa' l-passaġġ ferm lil hinn mill-problema li bdejt biha. Il-lista tad-destinazzjonijiet tirrekordja wkoll għal xiex kienet is-sessjoni, li tgħin lil min jivverifikaha aktar tard. Iktibha ħdejn il-kont li użajt.

Għaddi applikazzjoni waħda mill-proxy

Klijent fuq il-Pi li jifhem il-proxy jista' mbagħad jagħmel it-talba. Il-prefiss socks5h jagħti l-isem tad-destinazzjoni lill-proxy, għalhekk it-tfittxija u l-konnessjoni jseħħu t-tnejn fuq in-naħa tal-laptop, u jaqbel mad-destinazzjoni msemmija f'PermitRemoteOpen:

curl --proxy socks5h://127.0.0.1:1080 \
  --noproxy '' https://app.corp.example/

Żomm il-validazzjoni normali taċ-ċertifikat u l-awtentikazzjoni tal-applikazzjoni stess. Il-proxy jbiddel fejn tinħoloq il-konnessjoni TCP; ma jagħmilx servizz bla awtentikazzjoni sigur, u ma jbiddilx punt aħħari awtofirmat f'wieħed affidabbli.

Il-laptop xorta għandu bżonn ir-rotta tiegħu u aċċess għas-solver kemm għas-server SSH kif ukoll għall-applikazzjoni. It-traffiku tal-klijent SSH tiegħu għandu jintgħażel mill-politika VPN approvata, u esklużjoni split-tunnel tista' tibgħat dak it-traffiku fi passaġġ differenti minn dak li ppruvajt.

Ipprova l-passaġġ u agħlaq

Ikkonferma li s-semmiegħa teżisti fejn tistenna u li tidher biss id-destinazzjoni maħsuba:

$ ss -ltnp | grep 1080
LISTEN 0 128 127.0.0.1:1080 0.0.0.0:*
$ curl -sS -o /dev/null -w '%{http_code}\n' \
    --proxy socks5h://127.0.0.1:1080 https://app.corp.example/

ExitOnForwardFailure jista' jipprova li r-rilaxx ġie stabbilit, u xorta ma jistax jiċċertifika li d-dħul fl-applikazzjoni jirnexxi 'l isfel. Ipprova l-applikazzjoni, mhux il-port biss. Semmiegħa li taċċetta u mbagħad ifalli kull talba normalment tfisser li l-isem tad-destinazzjoni jew ir-rotta tal-laptop huma ħżiena, mhux li t-tunnel falla.

Dan l-arranġament iġorr TCP biss. UDP, ICMP u programmi li jinjoraw is-settings tal-proxy jibqgħu barra minnu, u r-rilaxx jintemm fil-mument li tintemm is-sessjoni SSH. Waqqaf dik is-sessjoni meta tkun lest u neħħi s-setting tal-proxy li żidt mal-applikazzjoni.

Għal aċċess permanenti, uża minflok ir-reġistrazzjoni appoġġjata mis-sid tan-netwerk jew gateway ġestit. Proxy rivers huwa l-għodda ħażina biex tevita r-restrizzjonijiet tal-apparat jew tar-riżorsi ta' VPN; użat ġewwa fihom, huwa sempliċement passaġġ wieħed awtorizzat tal-applikazzjoni b'limiti espliċiti.

Artikli relatati