Tlaħħaq ma' sit HTTPS li jinstab biss permezz tal-VPN b'trasferiment SSH

Magna waħda diġà għandha aċċess għall-VPN approvat, it-tieni magna teħtieġ eżattament servizz wieħed HTTPS privat, u trasferiment SSH lokali jista' jaqbeż dan il-vojt mingħajr ma jagħti tunnel lit-tieni magna. It-trasferiment iġorr destinazzjoni waħda TCP minflok in-netwerk kollu, u proprju dan il-limitu huwa l-punt. Agħmel il-ħames passi hawn taħt fl-ordni, għax kull wieħed ifalli għal raġuni differenti u pass aktar tard ma jistax isalva vojt preċedenti. Jekk hija nieqsa xi prekundizzjoni, dan id-disinn ma jsolviehiex u l-ebda aġġustament tal-kmandi mhu se jgħin.

Pass wieħed: ikkonferma t-tliet prekundizzjonijiet

Tliet affarijiet iridu diġà jkunu veri qabel ma jkun jiswa xi kmand. Għandek bżonn permess biex tuża l-ewwel magna bħala host tat-trasferiment, aċċess SSH li jaħdem għaliha, u politika tas-server li tippermetti d-destinazzjoni maħsuba. Kont SSH maħluq għat-trasferiment tal-fajls jista' jkollu t-trasferiment diżattivat, u server li jippermetti t-trasferiment xorta jista' jillimita liema destinazzjonijiet jistgħu jintlaħqu minnu. Staqsi qabel ma tittestja, għax l-użu tal-istazzjon tax-xogħol ta' kollega bħala punt ta' qbiż mingħajr ftehim hija problema ta' politika, anki meta l-kmand jaħdem bla difett.

Żewġ kmandi jsolvu n-nofs tekniku ta' dik il-lista. L-ewwel wieħed juri li l-kont u ċ-ċavetta jaħdmu mingħajr talba interattiva, u t-tieni wieħed jipprintja l-politika effettiva tas-server minflok l-eżempju kkummentat fil-fajl tal-konfigurazzjoni.

ssh -o BatchMode=yes [email protected] 'echo ok'
sudo sshd -T | grep -E 'allowtcpforwarding|permitopen'

Pass tnejn: orbot port loopback u żomm is-sessjoni ħajja

Fil-magna li ġġorr l-applikazzjoni tal-klijent, iftaħ trasferiment lokali lejn is-servizz privat. Orbot b'mod espliċitu mal-loopback sabiex ma jiġix ippubblikat fuq in-netwerk lokali, u agħżel port għoli li l-ebda servizz lokali ma diġà qed iżomm. Żomm is-sessjoni għaddejja waqt li taħdem, għax l-għeluq tagħha jagħlaq is-semmiegħ. ExitOnForwardFailure ibiddel rabta miċħuda jew port okkupat fi ħruġ immedjat minflok sessjoni li tibqa' mingħajr trasferiment, u dan huwa l-mod ta' falliment li jħela l-aktar ħin.

Il-konnessjoni privata ssir mill-host tal-qbiż, għalhekk id-DNS, ir-rotot, il-politika tal-VPN u l-aċċess għas-servizz ta' dak il-host iridu kollha jaħdmu. Is-sessjoni SSH ma toħloqx aċċessibbiltà li l-host tal-qbiż m'għandux, u ma tistax issewwi rotta li l-VPN qatt ma bagħat. Ikkonferma s-semmiegħ fejn fil-fatt jinsab minflok tafda fis-skiet tal-kmand.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:9443:portal.lab.example:443 [email protected]
ss -ltn '( sport = :9443 )'

Pass tlieta: żomm l-isem HTTPS meta s-sokit ikun lokali

L-ibbrawżjar lejn https://127.0.0.1:9443/ ibiddel l-isem tas-server TLS u l-awtorità tal-applikazzjoni. Ċertifikat maħruġ għal portal.lab.example mhux se jiġi vvalidat kontra indirizz loopback, u l-iżball li jirriżulta jidher bħal ċertifikat miksur minflok bħal qasira tat-trasferiment. Għal test tal-linja tal-kmand, żomm l-URL vera u biddel biss id-destinazzjoni tas-sokit. Dan huwa dak li jagħmel --connect-to, u l-manwal ta' curl jiddokumenta l-forma ta' erba' oqsma użata hawn taħt.

curl --noproxy portal.lab.example --connect-to portal.lab.example:443:127.0.0.1:9443 https://portal.lab.example/

L-isem jibqa' fl-URL, fil-handshake TLS u fl-intestatura Host, filwaqt li l-konnessjoni TCP tmur lejn is-semmiegħ lokali. L-għażla mingħajr prokura żżomm it-test fuq dan it-trasferiment minflok ma tħalli prokura HTTP konfigurata tinterċettah, u li l-verifika taċ-ċertifikat tibqa' mixgħula hija dik li tagħmel ir-riżultat sinifikanti.

Pass erbgħa: kun af x'ma jistax ikopri trasferiment wieħed

Trasferiment wieħed TCP ikopri port wieħed tad-destinazzjoni. Paġna li tirridirieġi lejn it-tieni isem ta' host, tgħabbi riżorsi minn host ġewwa n-netwerk privat jew tibgħat lejn port ieħor teħtieġ it-trasferiment tagħha stess, u kull waħda minnhom teħtieġ l-istess verifika tal-politika bħall-ewwel waħda. Il-flussi tax-xogħol tal-brawżer iżidu rekwiżiti tagħhom, għax il-brawżer irid jingħadlu biex jibgħat l-isem veru lejn il-port lokali permezz ta' konfigurazzjoni tal-prokura jew immappjar lokali. Għalhekk test tal-linja tal-kmand li jirnexxi ma jurix li l-brawżer se jirnexxi, għalkemm juri t-triq.

UDP, l-iskoperta SMB u d-dħul fid-dominju ma jgħaddux minn trasferiment TCP xejn. Jekk il-ħtieġa vera hija aċċess ġenerali għan-netwerk, dan id-disinn huwa l-għodda ħażina u gateway tal-aċċess mill-bogħod appoġġjat huwa dak it-tajjeb.

Pass ħamsa: naddaf u rreġistra

Waqqaf is-sessjoni meta t-test ikun lest u kkonferma li s-semmiegħ telaq. Jekk il-port magħżul kien diġà okkupat, agħżel port loopback ieħor mhux użat u aġġorna l-URL, il-kmand tat-test u n-nota flimkien, minflok ma twaqqaf servizz lokali mhux relatat biex tillibera n-numru. Li tħalli trasferiment miftuħ fuq laptop ibiddel dijanjosi f'servizz mhux immaniġġjat.

Ikteb il-host tal-qbiż, id-destinazzjoni ttrasferita, il-port lokali u min approva l-arranġament. Trasferiment li jeżisti biss fl-istorja tas-shell ta' xi ħadd huwa restart wieħed 'il bogħod minn investigazzjoni ripetuta, u l-persuna li jmiss ma tkunx taf liema mill-prekundizzjonijiet tlieta diġà ġiet iċċekkjata.