SSH ਦਾ ਸਥਾਨਕ ਫਾਰਵਰਡ TCP OpenVPN ਸੈਸ਼ਨ ਕਿਵੇਂ ਲੈ ਕੇ ਜਾਂਦਾ ਹੈ

ਇੱਥੇ ਤਿੰਨ ਟ੍ਰਾਂਸਪੋਰਟ ਪਰਤਾਂ ਇਕੱਠੀਆਂ ਹੁੰਦੀਆਂ ਹਨ, ਅਤੇ ਹਰ ਇੱਕ ਦਾ ਆਪਣਾ ਫ੍ਰੇਮਿੰਗ ਹੈ। VPN ਪੇਲੋਡ TLS ਸੈਸ਼ਨ ਦੇ ਅੰਦਰ ਜਾਂਦਾ ਹੈ, ਉਹ TLS ਸੈਸ਼ਨ ਲੂਪਬੈਕ ਪੋਰਟ ਵੱਲ TCP ਕਨੈਕਸ਼ਨ ਦੇ ਅੰਦਰ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਉਸ ਕਨੈਕਸ਼ਨ ਦੇ ਬਾਈਟ SSH ਦੇ ਅੰਦਰ ਰਿਲੇ ਹੋਸਟ ਵੱਲ ਜਾਂਦੇ ਹਨ, ਜੋ VPN ਸਰੋਤੇ ਵੱਲ ਅਸਲ TCP ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹਦਾ ਹੈ। ਇਸ ਬਣਤਰ ਵਿੱਚ ਕੁਝ ਵੀ ਨਹੀਂ ਬਦਲਦਾ ਜੋ OpenVPN ਪ੍ਰਮਾਣਿਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਸ ਵਿੱਚੋਂ ਕੁਝ ਵੀ UDP ਸਰੋਤੇ ਨੂੰ TCP ਰਾਹੀਂ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਬਣਾਉਂਦਾ। ਬਾਕੀ ਨੂੰ ਬਾਈਟ ਮਾਰਗ ਦੇ ਵਰਣਨ ਵਜੋਂ ਪੜ੍ਹੋ, ਨੈੱਟਵਰਕ ਨਿਯੰਤਰਣ ਟਾਲਣ ਦੀ ਵਿਧੀ ਵਜੋਂ ਨਹੀਂ।

ਸਥਾਨਕ ਫਾਰਵਰਡ ਅਸਲ ਵਿੱਚ ਕੀ ਲੈ ਕੇ ਜਾਂਦਾ ਹੈ

SSH ਕਲਾਇੰਟ ਸਥਾਨਕ ਪੋਰਟ ਉੱਤੇ ਸੁਣਦਾ ਹੈ। ਜਦੋਂ ਕੋਈ ਸਥਾਨਕ ਪ੍ਰਕਿਰਿਆ ਜੁੜਦੀ ਹੈ, ਕਲਾਇੰਟ ਬਾਈਟਾਂ ਨੂੰ ਆਪਣੇ ਐਨਕ੍ਰਿਪਟਿਡ ਚੈਨਲ ਵਿੱਚ ਪੈਕ ਕਰਦਾ ਹੈ, ਅਤੇ ਸਰਵਰ ਪਾਸਾ ਫਾਰਵਰਡ ਬੇਨਤੀ ਵਿੱਚ ਨਾਮਿਤ ਮੰਜ਼ਿਲ ਵੱਲ ਨਵਾਂ TCP ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹਦਾ ਹੈ।

ਉਹ ਮੰਜ਼ਿਲ ਰਿਲੇ ਹੱਲ ਕਰਦਾ ਹੈ, ਤੁਹਾਡੀ ਮਸ਼ੀਨ ਨਹੀਂ, ਇਸ ਲਈ ਦੂਰਸਥ ਨੈੱਟਵਰਕ ਦੇ ਅੰਦਰ ਹੀ ਮੌਜੂਦ ਨਾਮ ਵੀ ਅਜੇ ਕੰਮ ਕਰਦਾ ਹੈ। ਇਸ ਦਾ ਅਰਥ ਇਹ ਵੀ ਹੈ ਕਿ ਰਿਲੇ ਨੂੰ VPN ਸਰੋਤੇ ਤੱਕ ਪਹੁੰਚਣਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਉੱਥੇ ਵਾਪਸੀ ਮਾਰਗ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ। ਤੁਹਾਡੇ ਲੈਪਟਾਪ ਉੱਤੇ ਹੱਲ ਹੋਣ ਵਾਲਾ ਨਾਮ ਰਿਲੇ ਕੀ ਦੇਖ ਸਕਦਾ ਹੈ ਇਸ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਦੱਸਦਾ।

SSH ਸੈਸ਼ਨ ਸ਼ੁਰੂ ਕਰਨਾ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਰਿਲੇ ਪਹੁੰਚਯੋਗ ਅਤੇ ਪ੍ਰਮਾਣਿਤ ਹੈ। ਇਹ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਅਗਲਾ ਸਰੋਤਾ ਚਾਲੂ ਹੈ ਜਾਂ ਨਹੀਂ, ਰਿਲੇ ਅਤੇ ਸਰੋਤੇ ਵਿਚਕਾਰ ਫਾਇਰਵਾਲ ਕਨੈਕਸ਼ਨ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਜਾਂ VPN ਤੁਹਾਡੀ ਪ੍ਰੋਫਾਈਲ ਸਵੀਕਾਰ ਕਰੇਗਾ ਜਾਂ ਨਹੀਂ।

ਕਲਾਇੰਟ ਨੂੰ ਸਥਾਨਕ ਸਰੋਤੇ ਵੱਲ ਮੋੜੋ

ਘੋਸ਼ਿਤ ਉਦਾਹਰਨ: ਰਿਲੇ gw.internal.example:443 ਉੱਤੇ TCP ਸਰੋਤੇ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ, ਅਤੇ ਉੱਚਾ ਸਥਾਨਕ ਪੋਰਟ ਉਹ ਮਾਰਗ ਸਿਰਫ਼ ਇਸ ਮਸ਼ੀਨ ਲਈ ਖੋਲ੍ਹਦਾ ਹੈ।

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

OpenSSH ਮੈਨੂਅਲ ਸਥਾਨਕ ਫਾਰਵਰਡ ਦਾ ਵਰਣਨ ਸਥਾਨਕ ਤੌਰ ਉੱਤੇ TCP ਕਨੈਕਸ਼ਨ ਸਵੀਕਾਰ ਕਰਨ ਅਤੇ ਦੂਰਸਥ ਪਾਸੇ ਤੋਂ ਅਗਲਾ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹਣ ਵਜੋਂ ਕਰਦਾ ਹੈ। ਸਰੋਤੇ ਨੂੰ ਸਾਰੇ ਇੰਟਰਫੇਸਾਂ ਦੀ ਥਾਂ ਲੂਪਬੈਕ ਨਾਲ ਬੰਨ੍ਹੋ, ਕਿਉਂਕਿ ਨੈੱਟਵਰਕ ਤੋਂ ਪਹੁੰਚਯੋਗ ਫਾਰਵਰਡ ਤੁਹਾਡੇ ਨਾਮ ਵਾਲਾ ਖੁੱਲ੍ਹਾ ਰਿਲੇ ਹੈ। ਵਾਈਲਡਕਾਰਡ ਬਾਈਂਡ ਸਾਂਝੀ ਮਸ਼ੀਨ ਉੱਤੇ ਕਿਸੇ ਹੋਰ ਸਥਾਨਕ ਖਾਤੇ ਲਈ ਵੀ ਪੋਰਟ ਖੋਲ੍ਹਦਾ ਹੈ।

ਫਿਰ VPN ਕਲਾਇੰਟ ਨੂੰ TCP ਮੋਡ ਵਿੱਚ ਰੱਖੋ ਅਤੇ 127.0.0.1:24011 ਵੱਲ ਮੋੜੋ। ਜੇ ਪ੍ਰੋਫਾਈਲ UDP ਵਰਤਦੀ ਹੈ, ਤਾਂ ਇਹ ਡਿਜ਼ਾਈਨ ਮਦਦ ਨਹੀਂ ਕਰ ਸਕਦਾ: ਫਾਰਵਰਡ ਬਾਈਟ ਸਟ੍ਰੀਮ ਲੈ ਕੇ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਇਸ ਵਿੱਚੋਂ ਡੇਟਾਗ੍ਰਾਮ ਦਾ ਮਾਰਗ ਨਹੀਂ।

ਦੋਵੇਂ ਪ੍ਰਮਾਣੀਕਰਨ ਵੱਖਰੇ ਰੱਖੋ

SSH ਰਿਲੇ ਹੋਸਟ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਦਾ ਹੈ। OpenVPN ਅਜੇ ਵੀ VPN ਸਾਥੀ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਲੂਪਬੈਕ ਮੰਜ਼ਿਲ ਉਹ ਸ਼ਰਤ ਨਹੀਂ ਬਦਲਦੀ। ਸਾਕਟ ਹੁਣ localhost ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ ਇਸ ਲਈ ਸਰਟੀਫਿਕੇਟ ਜਾਂਚਾਂ ਬੰਦ ਕਰਨਾ ਇਸ ਡਿਜ਼ਾਈਨ ਵਿੱਚ ਸਭ ਤੋਂ ਮਾੜਾ ਸ਼ਾਰਟਕਟ ਹੈ। ਇਹ ਟ੍ਰਾਂਸਪੋਰਟ ਬਣਤਰ ਨੂੰ ਭਰੋਸੇ ਦੀ ਬਣਤਰ ਵਿੱਚ ਬਦਲਦਾ ਹੈ, ਅਤੇ ਦੂਜੀ ਲਈ ਕਿਸੇ ਨੇ ਸਹਿਮਤੀ ਨਹੀਂ ਦਿੱਤੀ।

ਪ੍ਰੋਫਾਈਲ ਦਾ ਭਰੋਸਾ ਐਂਕਰ, ਸਰਵਰ-ਭੂਮਿਕਾ ਜਾਂਚ ਅਤੇ ਨਾਮ ਪੜਤਾਲ ਅਟੁੱਟ ਰੱਖੋ। ਜੇ ਤੁਹਾਡਾ ਕਲਾਇੰਟ ਸਰਵਰ ਦਾ ਨਾਮ ਉਸ ਪਤੇ ਨਾਲ ਤੁਲਨਾ ਕਰਦਾ ਹੈ ਜਿਸ ਨੂੰ ਡਾਇਲ ਕੀਤਾ, ਤਾਂ ਲੂਪਬੈਕ ਨੂੰ ਬੰਦ ਜਾਂਚ ਦੀ ਥਾਂ ਸਪਸ਼ਟ ਨਾਮ ਸੈਟਿੰਗ ਲੋੜੀਂਦੀ ਹੋ ਸਕਦੀ ਹੈ, ਅਤੇ ਕਿਹੜਾ ਖੇਤਰ ਤੁਲਨਾ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਦੀ ਥਾਂ ਪ੍ਰੋਫਾਈਲ ਦਸਤਾਵੇਜ਼ ਹਨ।

ਰਿਲੇ ਨੂੰ ਭਰੋਸੇ ਦੀ ਕਹਾਣੀ ਵਿੱਚ ਦੂਜਾ ਧਿਰ ਮੰਨੋ: ਇਸ ਦਾ ਪ੍ਰਬੰਧਕ ਕਨੈਕਸ਼ਨ ਮੈਟਾਡੇਟਾ ਦੇਖ ਸਕਦਾ ਹੈ ਅਤੇ ਸੰਰਚਨਾ ਬਦਲਣ ਉੱਤੇ ਫਾਰਵਰਡ ਮੋੜ ਸਕਦਾ ਹੈ। ਇਸ ਬਣਤਰ ਲਈ ਰਿਲੇ ਅਤੇ VPN ਸੇਵਾ ਦੇ ਮਾਲਕ ਦੋਵਾਂ ਦੀ ਮਨਜ਼ੂਰੀ ਚਾਹੀਦੀ ਹੈ, ਸਿਰਫ਼ ਉਸ ਦੀ ਨਹੀਂ ਜਿਸ ਨੂੰ ਅੱਜ ਇਸ ਦੀ ਲੋੜ ਹੈ।

ਸੁਰੰਗ ਹੇਠ ਲੂਪ ਨਾ ਬਣਾਓ

VPN ਦੇ ਰੂਟ ਸਥਾਪਿਤ ਕਰਨ ਤੋਂ ਬਾਅਦ ਵੀ ਇਸ ਨੂੰ ਲੈ ਜਾਣ ਵਾਲੇ SSH ਕਨੈਕਸ਼ਨ ਨੂੰ ਰਿਲੇ ਤੱਕ ਐਸਾ ਮਾਰਗ ਚਾਹੀਦਾ ਹੈ ਜੋ ਸੁਰੰਗ ਵਿੱਚੋਂ ਨਾ ਜਾਵੇ। ਜੇ ਡਿਫਾਲਟ ਰੂਟ VPN ਵੱਲ ਚਲਾ ਜਾਵੇ ਅਤੇ ਰਿਲੇ ਸਿਰਫ਼ ਉਸੇ ਸੁਰੰਗ ਰਾਹੀਂ ਪਹੁੰਚਯੋਗ ਹੋਵੇ, ਤਾਂ ਟ੍ਰਾਂਸਪੋਰਟ ਢਹਿ ਜਾਂਦਾ ਹੈ ਅਤੇ VPN ਵੀ ਉਸ ਨਾਲ ਚਲਾ ਜਾਂਦਾ ਹੈ। ਨਾਕਾਮੀ ਰੂਟਿੰਗ ਗਲਤੀ ਵਾਂਗ ਨਹੀਂ, ਸਗੋਂ ਡਿੱਗੀ ਸੁਰੰਗ ਵਾਂਗ ਦਿਸਦੀ ਹੈ, ਇਸ ਲਈ ਇਸ ਦਾ ਗਲਤ ਨਿਦਾਨ ਹੁੰਦਾ ਹੈ।

ਆਮ ਹੱਲ ਸੁਰੰਗ ਚੜ੍ਹਨ ਤੋਂ ਪਹਿਲਾਂ ਭੌਤਿਕ ਇੰਟਰਫੇਸ ਨਾਲ ਪਿੰਨ ਕੀਤਾ ਰਿਲੇ ਪਤੇ ਵੱਲ ਹੋਸਟ ਰੂਟ, ਨਾਲ ਹੀ ਇਹ ਜਾਂਚ ਕਿ ਰੂਟ ਮੁੜ-ਕਨੈਕਸ਼ਨ ਤੋਂ ਬਾਅਦ ਵੀ ਰਹਿੰਦਾ ਹੈ। ਕ੍ਰਮ ਸਹੀ ਸੀ ਇਹ ਮੰਨਣ ਦੀ ਥਾਂ ਰਿਲੇ ਪਤੇ ਲਈ ਰੂਟ ਲੁੱਕਅਪ ਨਾਲ ਇਸ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ।

ਇਹ ਵੀ ਆਸ ਰੱਖੋ ਕਿ ਇਹ ਢੇਰ ਸਿੱਧੇ ਕਨੈਕਸ਼ਨ ਨਾਲੋਂ ਹੌਲੀ ਅਤੇ ਨਾਜ਼ੁਕ ਹੋਵੇਗਾ, ਕਿਉਂਕਿ ਹੁਣ ਦੋ ਕ੍ਰਮਬੱਧ ਟ੍ਰਾਂਸਪੋਰਟ ਅਤੇ ਸੰਭਾਲਣ ਲਈ ਇੱਕ ਹੋਰ ਅੰਤ ਬਿੰਦੂ ਹੈ। ਇਹ ਨੈੱਟਵਰਕ ਸੀਮਾ ਲੰਘਣ ਦਾ ਤਰੀਕਾ ਹੈ, ਪ੍ਰਦਰਸ਼ਨ ਤਕਨੀਕ ਨਹੀਂ।

ਕੰਮ ਮੁੱਕਣ ਉੱਤੇ ਸਰੋਤਾ ਬੰਦ ਕਰੋ

ਜਦੋਂ ਸੁਰੰਗ ਦੀ ਲੋੜ ਨਾ ਰਹੇ ਤਾਂ SSH ਸੈਸ਼ਨ ਰੋਕੋ, ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਸਥਾਨਕ ਪੋਰਟ ਖਾਲੀ ਹੋ ਗਿਆ ਹੈ। ਭੁੱਲਿਆ ਫਾਰਵਰਡ ਸਾਂਝੀ ਹੋ ਸਕਣ ਵਾਲੀ ਮਸ਼ੀਨ ਉੱਤੇ ਪ੍ਰਮਾਣਿਤ ਮਾਰਗ ਖੁੱਲ੍ਹਾ ਰੱਖਦਾ ਹੈ।

ਰਿਲੇ ਦੇ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਫਾਰਵਰਡ ਮੰਜ਼ਿਲਾਂ ਦੀ ਵੀ ਸਮੀਖਿਆ ਕਰੋ, ਕਿਉਂਕਿ ਖੁੱਲ੍ਹੀ ਸੰਰਚਨਾ ਕਿਸੇ ਵੀ ਸਮਝੌਤੇ ਵਾਲੇ ਖਾਤੇ ਨੂੰ ਆਮ ਆਧਾਰ ਬਣਾ ਦਿੰਦੀ ਹੈ। ਪੋਰਟ, ਰਿਲੇ ਅਤੇ ਮੰਜ਼ਿਲ ਇਕੱਠੇ ਦਰਜ ਕਰੋ, ਤਾਂ ਜੋ ਅਗਲਾ ਵਿਅਕਤੀ ਜਾਣ ਸਕੇ ਕਿ ਫਾਰਵਰਡ ਕਿਸ ਲਈ ਸੀ ਅਤੇ ਕੀ ਇਹ ਅਜੇ ਵੀ ਮਨਜ਼ੂਰ ਹੈ।