Kif forward lokali SSH iġorr sessjoni TCP OpenVPN

Hawn jistekkew tliet trasporti, u kull wieħed għandu l-qafas tiegħu. It-tagħbija tal-VPN tivvjaġġa ġewwa sessjoni TLS, dik is-sessjoni TLS tivvjaġġa ġewwa konnessjoni TCP lejn port tal-loopback, u l-bytes ta' dik il-konnessjoni jivvjaġġaw ġewwa SSH lejn host relay, li jiftaħ il-konnessjoni TCP vera lejn is-semmiegħa tal-VPN. Xejn fis-sistema ma jbiddel dak li OpenVPN jawtentika, u xejn fiha ma jagħmel semmiegħa UDP aċċessibbli permezz ta' TCP. Aqra l-bqija bħala deskrizzjoni tal-passaġġ tal-bytes, mhux bħala riċetta biex tevita kontroll tan-netwerk.

X'jimxi verament il-forward lokali

Il-klijent SSH jisma' fuq port lokali. Meta proċess lokali jikkonnettja, il-klijent jippakkja l-bytes fil-kanal tiegħu ċċifrat, u n-naħa tas-server tiftaħ konnessjoni TCP ġdida lejn id-destinazzjoni msemmija fit-talba tal-forward.

Dik id-destinazzjoni tissolva mir-relay, mhux mill-magna tiegħek, għalhekk isem li jeżisti biss ġewwa n-netwerk remot għadu jaħdem. Dan ifisser ukoll li r-relay irid ikun jista' jilħaq is-semmiegħa tal-VPN u jkollu rotta lura lejha. Isem li jiġi solvut fuq il-laptop tiegħek ma jgħid xejn dwar dak li r-relay jista' jara.

Il-bidu tas-sessjoni SSH jipprova biss li r-relay huwa aċċessibbli u awtentikat. Ma jgħidx jekk is-semmiegħa li jmiss hijiex ħajja, jekk firewall bejn ir-relay u s-semmiegħa jaċċettax il-konnessjoni, jew jekk il-VPN taċċettax il-profil tiegħek.

Iddrezzja l-klijent lejn is-semmiegħa lokali

Eżempju ddikjarat: ir-relay jista' jilħaq semmiegħa TCP fuq gw.internal.example:443, u port lokali għoli jesponi dak il-passaġġ lil din il-magna biss.

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

Il-manwal tal-OpenSSH jiddeskrivi l-forward lokali bħala li jilqa' konnessjonijiet TCP lokalment u jiftaħ il-konnessjoni li jmiss min-naħa remota. Orbot is-semmiegħa mal-loopback u mhux mal-interfaces kollha, għax forward aċċessibbli min-netwerk huwa relay miftuħ b'ismek fuqu. L-irbit b'wildcard jesponi l-port ukoll lil kull kont lokali ieħor fuq magna kondiviża.

Imbagħad qiegħed il-klijent tal-VPN fil-modalità TCP tiegħu u ddrezzjah lejn 127.0.0.1:24011. Jekk il-profil juża UDP, dan id-disinn ma jistax jgħin: il-forward iġorr fluss ta' bytes, u m'hemmx passaġġ tad-datagrammi minnu.

Żomm iż-żewġ awtentikazzjonijiet separati

SSH jawtentika l-host relay. OpenVPN għadu jawtentika l-peer tal-VPN, u d-destinazzjoni tal-loopback ma tbiddilx dik il-ħtieġa. L-għeluq tal-verifiki taċ-ċertifikat għax is-socket issa jindika lejn localhost huwa l-agħar qosra disponibbli f'dan id-disinn. Dan ibiddel arranġament tat-trasport f'arranġament ta' fiduċja, u ħadd ma approva t-tieni wieħed.

Żomm l-ankra tal-fiduċja tal-profil, il-verifika tar-rwol tas-server u l-verifika tal-isem sħaħ. Jekk il-klijent tiegħek iqabbel l-isem tas-server mal-indirizz li ċempel, il-loopback jista' jkollu bżonn setting espliċitu tal-isem minflok verifika mitfija, u d-dokumentazzjoni tal-profil hija l-post biex tikkonferma liema qasam huwa mqabbel.

Ittratta r-relay bħala t-tieni parti fl-istorja tal-fiduċja: l-amministratur tiegħu jista' jara l-metadata tal-konnessjonijiet u jista' jibdel id-direzzjoni tal-forward jekk il-konfigurazzjoni tinbidel. L-arranġament jeħtieġ l-approvazzjoni kemm tar-relay kif ukoll tas-sid tas-servizz tal-VPN, mhux biss ta' min għandu bżonnu llum.

Tibnix ċirku taħt it-tunnel

Ladarba l-VPN jinstalla rotte, il-konnessjoni SSH li ġġorrha għadha teħtieġ passaġġ lejn ir-relay li ma jgħaddix mit-tunnel. Jekk ir-rotta default tmur lejn il-VPN u r-relay huwa aċċessibbli biss permezz tal-istess tunnel, it-trasport jiġġarraf u l-VPN imur miegħu. Il-falliment jidher bħala tunnel waqa' u mhux bħala żball ta' routing, u għalhekk jiġi djanjostikat ħażin.

Is-sewwa tas-soltu huwa rotta tal-host lejn l-indirizz tar-relay imwaħħla mal-interface fiżika qabel ma jogħla t-tunnel, flimkien ma' verifika li r-rotta tibqa' teżisti wara rikonnessjoni. Ivverifika b'tfittix ta' rotta għall-indirizz tar-relay minflok tassumi li l-ordni kienet tajba.

Stenna wkoll li dan l-istekk ikun aktar bil-mod u aktar fraġli minn konnessjoni diretta, għax issa hemm żewġ trasporti ordnati u punt tat-tarf ieħor x'jinstema'. Dan huwa mod kif taqsam fruntiera tan-netwerk, mhux teknika tal-prestazzjoni.

Agħlaq is-semmiegħa meta tispiċċa

Waqqaf is-sessjoni SSH meta t-tunnel ma jibqax meħtieġ, u kkonferma li l-port lokali ġie rilaxxat. Forward minsieni jħalli passaġġ awtentikat miftuħ fuq magna li tista' tkun kondiviża.

Irrevedi wkoll id-destinazzjonijiet tal-forward permessi tar-relay, għax konfigurazzjoni permissiva tibdel kull kont kompromess f'punt ta' tlaqqigħ ġenerali. Innota l-port, ir-relay u d-destinazzjoni flimkien, sabiex il-persuna li jmiss tkun taf għal xiex kien il-forward u jekk għadux approvat.