د یوې وسیلې لپاره برعکس SSH: loopback اورېدونکی که روټ شوی VPN؟

یوازې بهر ته زنګ وهلی شي داسې وسیلې لپاره یو واحد مدیریت پورټ. درې شرطونه فیصله کوي چې برعکس تونل کافي دی که ریښتینی روټ شوی لار ته اړتیا لرئ.

ستاسو وسیله د چلونکي NAT شاته ده، کولای شي بهر ته وتونکې اړیکې پرانیزي، او داسې SSH سرور چلوي چې هیچا ته نه رسېږي۔ راتلونکې غوښتنه معمولاً د "هغې ته VPN ورکړه" په ډول بیانېږي، چې د څو ځوابونو یو دی۔ د منلو دمخه پریکړه وکړئ چې یو اداري TCP پورټ ته اړتیا لرئ که ټول فرعي شبکې ته روټ شوې لار، ځکه چې هغه د بېلې بېلې ښکارېدنې بېل پروژې دي۔

برعکس تونل تنګې نسخې ته ښه ځواب ورکوي۔ وسیله ستاسو هب ته زنګ وهي، له هب څخه غواړي چې په loopback پورټ کې واوري، او هغه پورټ بېرته خپل SSH خدمت ته لیږدوي۔ بیا مدیران د عامه انټرنېټ له لارې نه، بلکې د هب له لارې اورېدونکي ته رسېږي۔

درې شرطونه چې انتخاب فیصله کوي

د هر ترتیب دمخه دا ولیکئ۔ دا د محدود مدیریت ننوتلو او شبکې پراختیا ترمنځ پوله ده، او د دوی ګډول هغه لار ده چې پنځه کرښیز تونل بې مالکه هواره شبکه ګرځوي۔

ConditionReverse tunnel fitsSomething else is needed
How many services must be reachable?One, or a small fixed set on loopbackAnything that needs many ports or dynamic discovery
Who connects, and how are they authenticated?Named administrators with their own hub accountsThird parties, or anything needing per-flow audit you do not control
Does the device's own LAN need to be reachable?NoYes, so a routed VPN or a managed platform is the honest answer

دریمه کرښه هغه ده چې خلک پر سر یې جګړه کوي۔ وسیلې د SSH پورټ ته تونل د هغې ګاونډیان ستاسو شبکې ته نه راولي، او نه باید د نورو لیږدونو د زنځیر له لارې داسې ښکاره شي۔ که اړتیا واقعاً LAN وي، هغه ووایاست او پرځای یې هغه ډیزاین کړئ۔

د هب اړخ: محدود ریلې حساب

هرې وسیلې ته د عامه کیلي تصدیق سره او پرته له کومې متقابلې غونډې خپل ریلې حساب ورکړئ۔ Match بلاک چې هغه حساب ته محدود وي اجازه کوچنۍ ساتي، او شخصي کیلي په هماغه وسیله پاتې کېږي چې ځای یې هلته دی۔

Match User relay-dev-7
    AuthenticationMethods publickey
    PubkeyAuthentication yes
    AllowTcpForwarding remote
    PermitListen 127.0.0.1:21022
    GatewayPorts no
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

MaxSessions 0 د زړه پورې کرښه ده۔ دا د شیل او فرعي سیسټم غونډې ردوي او سره له دې وسیلې ته اړین لیږد اجازه ورکوي، نو غلا شوې کیلي نه شي کولای متقابل ننوتل شي۔ PermitListen د هب اړخ د اورېدونکي پته او پورټ ټینګوي، او GatewayPorts no هغه د هب پرته شبکې لپاره پرانیستلو پرځای په loopback کې ساتي۔

د بیا بارولو دمخه اغېزمن ترتیب وازموئ، او د دې پر مهال دویمه غونډه پرانیستې وساتئ۔ Match بلاک که په ناڅاپي ډول پر هر چا پلي شي، یا د یوې غوراوي په نوم کې تېروتنه وي، دا هغه کلاسیکه لار ده چې ځان له هغه بکس څخه وباسئ چې سختوئ یې۔ روان ترتیب ډمپ کړئ او پر همدا نوې لیکل شوې دوتنې د باور پرځای غوراوي بیا ولولئ۔ په یاد ولرئ چې د غوراوي ملاتړ د جوړونو ترمنځ توپیر لري، نو په نوي سرور کې منل شوې کرښه کېدای شي زوړ یې په ساده ډول له پامه وغورځوي۔

د وسیلې اړخ: هغه لیږد چې په لوړ غږ ناکامېږي

وسیله اړیکه پرانیزي او اورېدونکی غواړي۔ په ارګومېنټ کې دوه پتې -R بېل مانا لري، او له چپې ښي خوا لوستل یې ترټولو ژر لار ده چې په یاد وساتئ کومه کومه ده۔

ssh -NT \
    -o ExitOnForwardFailure=yes \
    -o ServerAliveInterval=30 \
    -o ServerAliveCountMax=3 \
    -R 127.0.0.1:21022:127.0.0.1:22 \
    [email protected]

چپه جوړه هغه ځای دی چې هب باید واوري۔ ښي جوړه هغه څه دي چې وسیله ورسره نښلېږي کله چې غوښتنه راځي، چې د وسیلې له خپل اړخ څخه حل کېږي۔ د دوی بدلول داسې تونل جوړوي چې پاک پورته کېږي او غلط ځای ته لیږدوي، چې د ناکامۍ څخه هم بدتر دی۔

ExitOnForwardFailure=yes غوښتل شوی اورېدونکی چې نه شي جوړېدای، امر باندې اغېزه کوي چې ووځي، نو د بیا پیل کړۍ تاسو ته رښتیا وایي پرځای دې چې نیمګړې غونډه پرېږدي۔ د سیمه ایز SSH خدمت د روغتیا په اړه وروسته هیڅ نه وایي، نو له یوې پروسې مدیر او کله ناکله ریښتیني اړیکې ازموینې سره یې یوځای کړئ۔

هیڅکله د اضافي ټوپ څخه د مخنیوي لپاره د loopback اورېدلو پته د وحشي کارت سره مه بدلوئ۔ هماغه یو بدلون د مدیریت لارې او عامه رسېدونکي پورټ ترمنځ توپیر دی، او معمولاً د ډیبګ پر مهال پېښېږي او بیا پاتې کېږي۔ که همکار د هب له لارې پورټ ته نه رسېږي، د بایند پراخولو پرځای د ټوپ ترتیب سم کړئ۔ Loopback د دې ډیزاین ټول امنیتي استدلال دی۔

د هب له لارې د مدیر لاسرسی

په هب کې عادي حساب لرونکی مدیر کولای شي د هغه له لارې لیږد شوي پورټ ته وټوپي۔ د ریلې حساب د دې لپاره نه کارول کېږي، او د دوی جلا ساتلو مانا همدا ده۔

ssh -J [email protected] -o HostKeyAlias=device-7 \
    -p 21022 [email protected]

د وسیلې هوسټ کیلي د هغه نوم لاندې چې تاسو ټاکلی تایید کړئ، ځکه هغه کیلي د زنځیر په پای کې وسیله پېژني او تونل یوازې لېږد دی۔ له سره تر سره ننوتل لا هم دواړه سرونه تصدیقوي؛ هغه تونل چې په ګډ هب کې پای ته رسېږي، په خپله یې باوري لار نه جوړوي۔

د ژوند دورې مالکیت واخلئ

د وسیلې امر د پروسې مدیر لاندې په دقیق ډول د یوې فعالې نسخې او په قصدي ډول ټاکل شوې بیا پیل پالیسۍ سره چل کړئ۔ د keepalive غوراوي مړه همکار پېژني؛ دوی وتلې پروسه بیا ژوندي نه کوي۔

بیا د وتلو پروسه ولیکئ۔ هره وسیله خپل اورېدونکی او خپله کیلي لري، نو وتل د هغه حساب لغوه کول او هغه کیلي لرې کول دي، نه د ټولې بیړۍ ګډ راز څرخول۔

په پای کې په یاد ولرئ چې loopback تاسو ته څه درکوي۔ دا شبکه ییزه ښکارېدنه محدودوي او د ګډ هب نورو سیمه ایزو کاروونکو په اړه هیڅ نه کوي، نو د هب خپله لاسرسي پالیسي باید لا هم سمه وي۔ د sshd_config حواله پورته کارول شوې هره غوراوي مستند کوي، او د دوی له یوې هم پراخولو دمخه د لیږد برخې په بشپړ ډول لوستل ارزښت لري۔

اړوندې مقالې