Liema traffiku tal-app fil-fatt iġorr forward SSH?

Qoxra, forward lokali, SOCKS u l-mod tal-mezz tat-tunnel jesponu interfaces differenti. Semmi dak li l-app tiegħek tista’ tuża qabel ma tqabblu ma’ VPN bir-rotta.

It-terminal jgħaqqad, il-prompt jidher, u kulħadd jaqbel li l-aċċess SSH qed jaħdem. Imbagħad klijent tad-database fuq il-laptop xorta ma jistax jilħaq il-host privat, u s-sessjoni hija akkużata. Dak li nbena kien qoxra, u din hija waħda mill-erba’ interfaces pjuttost differenti li SSH jista’ joffri. Semmi l-interface l-ewwel, imbagħad ittestja li l-app verament tużaha. L-ordni hija importanti, għax kull interface tfalli bil-mod tagħha.

Semmi l-interface qabel ma tqabbel xejn

Il-manwal tal-klijent OpenSSH jiddistingwi erba’ mekkaniżmi li faċli jitħawdu. Qoxra jew kmand mill-bogħod titwettaq fuq il-host SSH. Forward lokali jiftaħ socket li jisma’ fuq il-klijent u jagħmel il-konnessjoni li jmiss min-naħa l-bogħida. Forward mill-bogħod jagħmel l-oppost, jisma’ fuq in-naħa tas-server. Forward dinamiku jesponi endpoint SOCKS għall-programmi li jafu kif jużawh.

  • Qoxra: il-programm jaħdem fuq il-magna mill-bogħod, xejn ma jisma’ lokalment.
  • Forward lokali: il-laptop tiegħek għandu port, il-host mill-bogħod jagħmel il-konnessjoni ħierġa.
  • Forward mill-bogħod: in-naħa l-bogħida għandha port, it-traffiku jerġa’ lura lejk.
  • Dinamiku: proxy SOCKS fuq il-klijent, jintuża biss minn apps li jifhmu l-proxy.

Xejn minn dawn ma jinstalla rotta. Programm li jinjora s-settings tal-proxy, jew jitkellem UDP, jew jirriżolvi l-ismijiet waħdu, mhuwiex affettwat minn sessjoni SSH attiva. Dan mhuwiex difett f’SSH; dan huwa l-ambitu tal-interface li għażilt.

Il-forwards lokali, mill-bogħod u dinamiku jvarjaw f’min jisma’

Id-differenza li tiddeċiedi l-biċċa l-kbira tal-każijiet hija min jippossjedi s-socket li jisma’. B’forward lokali, il-klijent jisma’ u t-tarf imbiegħed iċempel id-destinazzjoni, u għalhekk l-indirizz tad-destinazzjoni jiġi riżolt mill-perspettiva tas-server. B’forward mill-bogħod, is-server jisma’ u l-konnessjoni tinġarr lura lejn naħtek, u hekk tesponi servizz lokali mingħajr ma tippubblikah direttament.

ssh -N -L 5432:db.internal.example:5432 [email protected]
ssh -N -D 1080 [email protected]
ss -ltnp | grep -E '5432|1080'

L-ewwel kmand jorbot il-port 5432 fuq il-laptop u jgħaddih lid-database kif jidher mill-bastion. It-tieni joħloq proxy SOCKS fuq il-port 1080. It-tielet kmand jikkonferma liema proċessi qed jisimgħu verament, u dik hija l-unika prova li l-forward jeżisti minflok ma falla bil-kwiet minħabba konflitt tal-port.

Il-forward dinamiku jistħoqqlu twissija tiegħu: ikopri biss apps li jirrispettaw SOCKS. Browser jista’ jiġi indikat lejh, għodda tal-linja tal-kmand tista’ tingħad biex tużah, iżda driver tad-database bit-tapit tal-konnessjoni tiegħu stess normalment ma jistax. Li tassumi li kull programm fuq il-magna issa juża t-tunnel huwa l-iżball l-aktar komuni f’dan il-qasam kollu.

Il-mod tal-mezz tat-tunnel huwa l-unika eċċezzjoni vera tan-netwerk

OpenSSH jappoġġja wkoll il-forward tal-mezz tat-tunnel -w, li jgħaddi interface punt sa punt minflok jisma’ TCP. Dan huwa tunnel tan-netwerk ġenwin, u jiġi konfigurat apposta, mhux effett sekondarju tal-ftuħ ta’ qoxra.

sudo ssh -w 0:0 [email protected]
ip addr show tun0

Jeħtieġ in-numri tal-interface korrispondenti disponibbli fiż-żewġt itruf, il-konfigurazzjoni t-tajba fuq is-server, u biżżejjed privileġġ fuq il-klijent biex tinħoloq il-mezz. Jeħtieġ ukoll pjan tal-indirizzar u r-rotta, għax interface vojta ma ġġorr l-ebda politika dwar liema destinazzjonijiet għandhom jużawha.

Anki hekk, it-tunnel jispiċċa fuq il-host imbiegħed. Kwalunkwe protezzjoni li pprovda t-trasport SSH tispiċċa hemm, u l-konnessjoni li jmiss hija qabża separata. Gateway VPN għandu l-istess forma ta’ fruntiera, u għalhekk il-paragun għandu jkun dwar l-ambitu u t-tmiem u mhux dwar liema għodda hija aktar b’saħħitha. Li ssemmi dik il-fruntiera b’leħen għoli ssolvi wkoll id-dibattitu dwar jekk tunnel «jinkriptax kollox», għax b’mod ċar ma jagħmilx hekk.

Ittestja li l-app tiegħek tuża l-interface li bnejt

Il-verifika hija għal kull app, mhux għas-sessjoni. Forward li jaħdem jipprova li l-port huwa marbut u t-tarf imbiegħed jista’ jċempel; ma jipprovax li l-programm li jimpurtak minnu qagħad permezz tiegħu.

curl -sS --socks5-hostname 127.0.0.1:1080 -o /dev/null -w '%{http_code}\n' https://app.internal.example/health
psql "host=127.0.0.1 port=5432 dbname=app sslmode=require" -c 'select 1'

L-ewwel kmand jibgħat talba permezz tal-endpoint SOCKS bl-isem tal-host jiġi riżolt mill-bogħod, u t-tieni jipprova l-port tad-database mibgħut b’TLS xorta meħtieġ. Mexxi l-istess testijiet bil-forward mwaqqaf biex tikkonferma li jonqsu, għax test li jgħaddi miż-żewġ modi qatt ma uża t-tunnel.

Imbagħad qabbel ma’ VPN bir-rotta biss fid-dimensjonijiet li jgħoddu: liema destinazzjonijiet huma koperti, liema protokolli jaħdmu, fejn tispiċċa l-protezzjoni u min irid japprova l-aċċess. Forward għal servizz wieħed jista’ jkun it-tweġiba idjaq u aħjar, filwaqt li VPN hija l-forma t-tajba meta ħafna apps jeħtieġu l-istess triq tan-netwerk. L-ebda waħda ma tagħti kollox li jista’ jintlaħaq mill-punt tat-tarf imbiegħed tagħha.

Artikli relatati