NetworkManager-ssh toont verbonden, maar er wordt niets gerouteerd
De indicator bewijst alleen dat de beheerde SSH-relatie bestaat. Controleer of de plug-in een tunnelapparaat of een reeks doorstuuringen heeft gebouwd en test daarna het pad van de toepassing.
Het menu toont de SSH-verbinding als actief, de hostsleutel is geaccepteerd, en de browser bereikt nog steeds niets van wat hij zou moeten bereiken. Dat is geen tegenspraak, want een NetworkManager-ssh-profiel kan uit dezelfde host en sleutel twee heel verschillende resultaten opleveren: een tunnelapparaat dat pakketten draagt, of een reeks doorstuuringen die alleen bepaalde toepassingen kunnen gebruiken. De indicator meldt dat de beheerde SSH-relatie bestaat. Hij meldt nooit welke van de twee u hebt gekregen.
Twee resultaten achter één menu-item
Beide modi verifiëren op dezelfde manier, en juist daarom raken ze verward. Het profiel op precies dezelfde manier kiezen, met dezelfde inloggegevens, kan u achterlaten met een interface waar u doorheen kunt routeren of met een luisterende socket waarover één toepassing moet worden ingelicht.
Begin met te bepalen welk resultaat de taak echt nodig heeft. Een vereiste om een heel subnet te bereiken heeft een apparaat nodig. Eén dienst op een externe host heeft een doorstuuring nodig, en daar een tunnel voor bouwen levert meestal meer routeringswerk op dan het probleem verdiende.
Wat elke modus moet hebben voordat hij werkt
Het project documenteert beide modi, en de randvoorwaarden verschillen zo sterk dat een ontbrekende eruitziet als een protocolfout en niet als een ontwerpkeuze.
| Mode | What must exist | What still has to be true |
|---|---|---|
| Tunnel device | Compatible TUN/TAP arrangement on both ends, permission, addressing | A route policy that actually sends the intended prefixes into it |
| Forwarding only | A chosen SOCKS, local-forward or remote-forward listener | A permitted destination path on the far side |
Lees de rechterkolom aandachtig, want daar eindigen de meeste van deze tickets. Zelfs een perfect gebouwd tunnelapparaat dekt alleen wat de routering erin stuurt, en zelfs een perfecte doorstuuring helpt alleen de toepassingen die is verteld dat ze hem moeten gebruiken.
De dummy-interface is geen tunnel
In doorstuurmodus documenteert de plug-in een dummy-interface die wordt aangemaakt om het verbindingsmodel te vervullen. Die bestaat zodat de beheerder iets heeft om status aan te koppelen. Hij draagt geen willekeurige toepassingspakketten naar het externe netwerk, en niets aan zijn aanwezigheid impliceert dat de IP-routering is veranderd.
De voorbeelden van volledige tunnels in het project gaan over de tunnelapparaatondersteuning van OpenSSH, dus het woord tunnel op een label beschrijft een mogelijkheid, niet uw effectieve beleid. Controleer wat de kernel zal doen in plaats van hoe het profiel heet.
nmcli connection show --active
ip -br link
ss -lntp | grep -E "1080|8080"Koppel het resultaat dan aan de toepassing. Een SOCKS-bewust programma moet worden geconfigureerd om de proxy te gebruiken. Een gebruiker van een lokale doorstuuring moet naar zijn luisteraar worden verwezen. Geen van beide ontdekt de doorstuuring zelf, en geen van beide wordt geholpen door een verbindingsindicator die groen is geworden.
Bereid de externe kant voor in plaats van hem te forceren
Een gewoon SSH-account kan zich authenticeren zonder enige toestemming om een extern tunnelapparaat op te zetten. Het project documenteert een pad zonder root waarbij een beheerder het apparaat vooraf voor die gebruiker aanmaakt, en de client kiest dan het bijbehorende nummer.
Een dergelijke regeling vereist afstemming met het tunnelbeleid van de server en met wie de adressering op het externe netwerk bezit. Het apparaat aanmaken geeft op zichzelf niet de resourceroutes, de doorstuurrechten of een terugweg, en niets daarvan komt omdat de voorbeeldconfiguratie overtuigend leek.
Wat u niet moet doen, is onbeperkte doorstuuring of extern root-aanmelden inschakelen om een voorbeeld aan de praat te krijgen. Waar de operator de inrichting van het externe netwerk bezit, gebruik de ondersteunde regeling om die opdrachten aan die eigenaar over te laten, en vermijd een tweede helper die bij het verbreken tegenstrijdige adressen herstelt.
Verificatiecontext, en wat u in het ticket zet
Verificatie heeft zijn eigen context. De plug-in zoekt een SSH-agent die aan de gebruikerssessie is gekoppeld en eist dat de doelserver bekend is, dus een sleutel die in één terminal werkt, wordt niet automatisch zichtbaar voor het verificatiepad van de beheerder. Laat de hostsleutel via het goedgekeurde proces registreren en controleren in plaats van de controle uit te schakelen.
Noteer voor ondersteuning vier dingen: de plug-in en versie, de gekozen modus, de bedoelde externe identiteit en de interface of luisteraar die had moeten verschijnen. Test daarna rechtstreeks het toegangspunt van de toepassing. Een verbonden indicator plus een werkende test is bewijs; een verbonden indicator alleen is een uitspraak over SSH, niet over de routering of de resourcemachtiging die u probeerde te verkrijgen.