sshuttle kontra VPN sħiħa: x'inhuma verament ikopri l-metodu tagħha
sshuttle iġorr biss dak li jappoġġja l-metodu tal-ibbundjar tiegħu: iċċekkja l-ewwel il-kopertura tat-TCP, DNS u UDP, il-privileġġ lokali meħtieġ u l-assistent mill-bogħod.
sshuttle jintgħażel għax SSH diġà jaħdem u l-kriptografija tidher familjari, u dan ir-raġunament jaqbeż l-unika mistoqsija li tiddeċiedi jekk jaqbilx. Liema pakketti jitilqu l-magna, liema kont iġorrhom fuq in-naħa l-oħra, u kemm privileġġ lokali jeħtieġ l-għodda. Dawn it-tliet tweġibiet ivarjaw skont il-metodu tal-ibbundjar, għalhekk konfigurazzjoni li taħdem għal applikazzjoni waħda tista' tonqos bil-kwiet għall-oħra. Il-qari hawn taħt jibda mill-protokoll li l-applikazzjoni tabilħaqq teħtieġ.
Ibda mill-protokoll li teħtieġ l-applikazzjoni
L-appoġġ tal-protokolli fi sshuttle 2.0 jiddependi mill-metodu li tagħżel. Il-metodi NAT u nft f'Linux imexxu TCP u DNS, u TPROXY iżid UDP ġenerali. Kull pjattaforma u metodu għandhom il-limiti tagħhom, u macOS jinterċetta b'mekkaniżmu kompletament differenti. Innota l-verżjoni installata, il-metodu magħżul u l-protokolli li teħtieġ l-applikazzjoni qabel tagħżel xi ħaġa.
Għalhekk talba TCP li taħdem tipprova ftit ħafna dwar applikazzjoni UDP jew dwar kull tfittxija DNS. sshuttle jittratta wkoll it-TCP bħala flussi minflok ma jtunella pakketti IP sħaħ, għalhekk konklużjoni dwar il-veloċità mislufa minn VPN ordinarja ma tgħaddix hawn. Qabbel il-mekkaniżmu li tassew tmexxi mat-tagħbija li tassew għandek.
| Approach | What it carries | What it needs locally |
|---|---|---|
| SSH local forward | One explicitly named TCP destination | Nothing beyond the SSH client |
| sshuttle, nft or nat method | TCP and DNS to the routed prefixes | Root or sudo for firewall rules |
| sshuttle, tproxy method | TCP, DNS and general UDP | Root or sudo, and kernel support |
| IP VPN | Routed IP traffic in a tunnel | A client with the required privileges |
X'jeħtieġ il-klijent b'mod lokali
Is-setup tal-klijent dokumentat jeħtieġ root jew sudo, għax jinstalla regoli lokali ta' interċettazzjoni minflok ma joħloq interface tat-tunnel. Dan il-fatt wieħed ibiddel l-istorja tas-sigurtà: proċess b'dan il-privileġġ jista' jdawwar it-traffiku tal-magna kollha, mhux ta' applikazzjoni waħda biss. Ittratta l-privileġġ bħala parti mid-disinn u mhux dettall tal-installazzjoni.
Ikkonferma liema regoli installat l-għodda u li jisparixxu meta toħroġ. Sessjoni li tiġġarraf u tħalli regoli ta' interċettazzjoni tista' tibgħat it-traffiku fi toqba sewda ħafna wara li l-operatur jaħseb li l-konnessjoni marret, u s-sintomu jidher bħal waqfa tan-netwerk u mhux bħal regola li baqgħet.
sudo sshuttle --method nft --dns 172.19.4.0/24
nft list ruleset | grep -i sshuttle
ip routeL-ewwel kmand huwa l-forma ta' sejħa tipika, bil-prefiss li tassew teħtieġ. It-tieni juri x'installat l-għodda, u t-tielet jikkonferma li ma deher l-ebda interface tat-tunnel, li huwa r-riżultat mistenni għal dan id-disinn.
X'imexxi n-naħa mill-bogħod
In-naħa mill-bogħod hija kont SSH awtorizzat flimkien ma' ambjent ta' assistent Python kompatibbli. Dħul li jirnexxi taħt shell ristrett ma jagħtix awtomatikament permess biex dak l-assistent jiġi eżegwit, u kont li jista' jmexxi l-assistent ma jilħaqx awtomatikament kull servizz fil-mira. Iż-żewġ fatti jappartjenu għat-talba tal-aċċess u mhux għan-noti tar-riżoluzzjoni tal-problemi.
Ipproteġi l-verifika tal-identità tal-host u l-awtentikazzjoni tal-kont. Li taċċetta ċavetta tal-host mhux magħrufa biex taħdem l-ewwel konnessjoni tneħħi l-kontroll li n-naħa mill-bogħod hija l-magna li kellek f'moħħok, u dan hawn jiswa aktar milli fi bdil għal skop wieħed.
Illimita l-kont mill-bogħod għas-servizzi li jeħtieġ il-fluss tax-xogħol, u nnegozja dak l-ambitu ma' min imexxi l-host. Huma parti mir-relazzjoni tal-fiduċja, u l-ebda setting fuq in-naħa tal-klijent ma jbiddel dan.
Fejn tinsab il-fruntiera tal-fiduċja
L-ibbundjar ta' konnessjoni privata tal-API permezz ta' SSH ma jawtorizzax kull operazzjoni tal-API. It-TLS tal-applikazzjoni u d-dħul fl-applikazzjoni għadhom japplikaw, u l-għodda ma tistax tagħmel servizz mingħajr awtentikazzjoni sigur. Lanqas qabża oħra mill-host mill-bogħod mhija awtomatikament l-istess segment protett bħall-kanal SSH, għax dik it-tieni konnessjoni ssegwi tkun xi tkun il-politika li għandu l-host mill-bogħod.
Ikteb il-fruntiera bħala sentenza waħda: it-traffiku lejn dawn il-prefissi joħroġ permezz ta' dan il-kont fuq dak il-host. Jekk is-sentenza teħtieġ paragrafu ta' eċċezzjonijiet, id-disinn qed jagħmel aktar milli ssostni d-dokumentazzjoni tiegħu u jistħoqqlu ħarsa oħra qabel ma jasal għall-produzzjoni.
Ipprova dan għal kull protokoll, imbagħad agħżel l-għodda
Ittestja kull protokoll meħtieġ b'talba bla ħsara, inkluż it-triq tas-solver u l-familji tal-indirizzi li tuża l-applikazzjoni. Daħħal skonnessjoni fit-test, sabiex l-imġiba tal-falliment permessa tal-applikazzjoni ssir riżultat magħruf u mhux sorpriża waqt inċident. Sessjoni li bdiet sew sakemm kienet attiva ma tgħid xejn dwar x'jiġri meta taqa'.
Għal numru żgħir ta' servizzi msemmija b'mod espliċitu, ibdil lokali ordinarju huwa eħfef biex jinżamm u eħfef biex jiġi awditjat. Għat-traffiku tal-applikazzjonijiet li jaqbel mal-metodu tiegħu, sshuttle joffri triq tan-nofs leġittima. Meta r-rekwiżit huwa konnettività IP wiesgħa, disinn VPN huwa t-tweġiba onesta, u l-għażla ssegwi l-kopertura u r-responsabbiltà operattiva u mhux klassifikazzjoni tal-algoritmi tal-kriptaġġ.