له SSH لېږدونې سره یوازې د VPN له لارې د لاسرسي وړ HTTPS سایټ ته رسېدل

یو ماشین لا دمخه تصویب شوی VPN لاسرسی لري، دویم ماشین ته په دقیق ډول یوه شخصي HTTPS خدمت ته اړتیا ده، او یوه ځایي SSH لېږدونه کولای شي دا تشه پرته له دې چې دویم ماشین ته تونل ورکړي ډکه کړي۔ لېږدونه د ټول شبکې پر ځای یو TCP منزل وړي، او همدا محدودیت اصلي خبره ده۔ لاندې پنځه ګامونه په ترتیب سره بشپړ کړئ، ځکه هر یو د بل لامل له مخې ناکامېږي او وروستی ګام نشي کولای پخوانۍ تشه وژغوري۔ که کومه پخوانۍ شرط نه وي، دا ډیزاین هغه نه حل کوي او د کمانډونو هیڅ تنظیم به مرسته ونه کړي۔

لومړی ګام: درې پخوانۍ شرطونه تایید کړئ

درې شیان باید لا دمخه ریښتیا وي ترڅو هر کمانډ معنا ولري۔ تاسو ته د لومړي ماشین د لېږدونې کوربه په توګه د کارولو اجازه، هغه ته کارکوونکی SSH لاسرسی، او د سرور هغه تګلاره چې ټاکل شوی منزل اجازه ورکوي ته اړتیا لرئ۔ د فایل لېږد لپاره جوړ شوی SSH حساب ممکن لېږدونه بنده ولري، او هغه سرور چې لېږدونه اجازه ورکوي بیا هم محدودولای شي چې له لارې یې کوم منزلونه د لاسرسي وړ دي۔ د ازموینې دمخه وپوښتئ، ځکه د یو همکار د کاري سټیشن پرته له موافقې د ټوپنې نقطې په توګه کارول د تګلارې ستونزه ده، حتی کله چې کمانډ په بشپړ ډول کار کوي۔

دوه کمانډونه د دې لیست تخنیکي نیمایي حل کوي۔ لومړی ثابتوي چې حساب او کیلي پرته له متقابلې غوښتنې کار کوي، او دویم د ترتیب فایل کې د تبصرې شوې بېلګې پر ځای ریښتینې سرور تګلاره چاپوي۔

ssh -o BatchMode=yes [email protected] 'echo ok'
sudo sshd -T | grep -E 'allowtcpforwarding|permitopen'

دویم ګام: یو loopback پورټ وتړئ او غونډه ژوندې وساتئ

په هغه ماشین کې چې کلایټ اپلیکیشن چلوي، شخصي خدمت ته یوه ځایي لېږدونه پرانیزئ۔ هغه په څرګند ډول له loopback سره وتړئ ترڅو په ځایي شبکه کې خپره نشي، او یو لوړ پورټ وټاکئ چې هیڅ ځایي خدمت لا نه وي نیولی۔ د کار پر مهال غونډه روانه وساتئ، ځکه بندول یې اورېدونکی هم بندوي۔ ExitOnForwardFailure رد شوې تړل یا اشغال شوی پورټ پرته له لېږدونې پاتې کېدونکې غونډې پر ځای سملاسي وتلو ته اړوي، او همدا د ناکامۍ طریقه تر ټولو ډېر وخت ضایع کوي۔

شخصي اړیکه د ټوپنې کوربه څخه جوړېږي، نو د هغه کوربه DNS، لارې، VPN تګلاره او خدمت ته لاسرسی باید ټول کار وکړي۔ SSH غونډه هغه رسېدنه نه جوړوي چې ټوپنې کوربه یې نه لري، او هغه لار نه شي سمولای چې VPN هیڅکله نه ده لېږلې۔ اورېدونکی هغه ځای کې تایید کړئ چې واقعاً دی، نه دا چې د کمانډ چوپتیا ته باور وکړئ۔

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:9443:portal.lab.example:443 [email protected]
ss -ltn '( sport = :9443 )'

دریم ګام: کله چې ساکټ ځایي وي د HTTPS نوم وساتئ

https://127.0.0.1:9443/ ته براوز کول د TLS سرور نوم او د اپلیکیشن واک بدلوي۔ د portal.lab.example لپاره صادر شوی سند به د loopback پتې پر وړاندې اعتبار ونه لري، او پایله کې رامنځته شوې تېروتنه د لېږدونې لنډې لارې پر ځای د مات شوي سند په څېر ښکاري۔ د کمانډ کرښې ازموینې لپاره ریښتینی URL وساتئ او یوازې د ساکټ منزل بدل کړئ۔ --connect-to همدا کوي، او curl لارښود لاندې کارول شوې څلور-برخې بڼه مستند کوي۔

curl --noproxy portal.lab.example --connect-to portal.lab.example:443:127.0.0.1:9443 https://portal.lab.example/

نوم په URL، په TLS لاس ورکولو او په Host سرلیک کې پاتې کېږي، په داسې حال کې چې TCP اړیکه ځایي اورېدونکي ته ځي۔ د پراکسي پرته انتخاب ازموینه پر همدې لېږدونې ساتي، نه دا چې تنظیم شوی HTTP پراکسي هغه رهبري کړي، او د سند تایید فعال ساتل همدا دي چې پایله بامعنا کوي۔

څلورم ګام: پوه شئ چې یوه لېږدونه څه نه شي پوښلی

یوه TCP لېږدونه یو منزل پورټ پوښي۔ هغه پاڼه چې دویم کوربه نوم ته اړوي، د شخصي شبکې دننه له کوربه سرچینې باروي یا بل پورټ ته لېږي، خپله لېږدونه ته اړتیا لري، او هر یو یې لومړي ته ورته د تګلارې ازموینې ته اړتیا لري۔ د براوزر کاري بهیرونه خپلې اړتیاوې زیاتوي، ځکه براوزر ته باید وویل شي چې ریښتینی نوم د پراکسي ترتیب یا ځایي نقشې له لارې ځایي پورټ ته ولېږي۔ نو یوه بریالۍ کمانډ کرښې ازموینه ثابتوي نه چې براوزر به هم بریالی شي، که څه هم لاره ثابتوي۔

UDP، SMB کشف او ډومین ته ننوتل په بشپړ ډول د TCP لېږدونې له لارې نه ځي۔ که ریښتینې اړتیا عمومي شبکهيي لاسرسی وي، دا ډیزاین غلط وسیله ده او د لرې لاسرسي ملاتړ شوی دروازه سمه ده۔

پنځم ګام: پاکوالی وکړئ او ثبت یې کړئ

کله چې ازموینه بشپړه شي غونډه ودروئ او تایید کړئ چې اورېدونکی تللی دی۔ که ټاکل شوی پورټ لا دمخه اشغال و، د شمېرې خوشې کولو لپاره د نامرتبط ځایي خدمت د درولو پر ځای بل نه کارول شوی loopback پورټ وټاکئ او URL، ازموینې کمانډ او یادښت یوځای تازه کړئ۔ په لیپ ټاپ کې پرانیستې پرېښودل شوې لېږدونه تشخیص په غیر مدیریت شوې خدمت بدلوي۔

د ټوپنې کوربه، لېږل شوی منزل، ځایي پورټ او چې چا دا ترتیب تصویب کړی ولیکئ۔ هغه لېږدونه چې یوازې د یو چا په shell تاریخ کې شته، یو بیا پیل کېدل له تکراري څېړنې څخه لرې ده، او بل کس به نه پوهېږي چې د درې پخوانیو شرطونو کوم یو لا دمخه څېړل شوی دی۔