එක් උපාංගයක් සඳහා ප්‍රතිලෝම SSH: loopback ශ්‍රාවකය ද නැතිනම් මාර්ගගත VPN ද?
පිටතට පමණක් අමතන්නට හැකි උපාංගයක් සඳහා එක් කළමනාකරණ වරායක්. ප්‍රතිලෝම උමග ප්‍රමාණවත් ද නැතිනම් සැබෑ මාර්ගගත මාර්ගයක් අවශ්‍ය ද යන්න කොන්දේසි තුනක් තීරණය කරයි.
ඔබේ උපාංගය කැරියර් NAT පිටුපස පිහිටා ඇත, එය පිටතට සම්බන්ධතා විවෘත කළ හැකි අතර, කිසිවෙකුට ළඟා විය නොහැකි SSH සේවාදායකයක් ධාවනය කරයි. ලැබෙන ඉල්ලීම සාමාන්‍යයෙන් "එයට VPN එකක් දෙන්න" ලෙස සකස් වේ, එය පිළිතුරු කිහිපයකින් එකකි. එය පිළිගැනීමට පෙර, ඔබට එක් පරිපාලන TCP වරායක් අවශ්‍ය ද නැතිනම් සම්පූර්ණ උපජාලයකට මාර්ගගත මාර්ගයක් අවශ්‍ය ද යන්න තීරණය කරන්න, මන්ද ඒවා වෙනස් නිරාවරණයක් සහිත වෙනස් ව්‍යාපෘති වේ.
ප්‍රතිලෝම උමග පටු අනුවාදයට හොඳින් පිළිතුරු දෙයි. උපාංගය ඔබේ කේන්ද්‍රයට අමතයි, loopback වරායක සවන් දෙන ලෙස කේන්ද්‍රයෙන් ඉල්ලා, එම වරාය එහිම SSH සේවයට ආපසු යොමු කරයි. ඉන්පසු පරිපාලකයින් පොදු අන්තර්ජාලය හරහා නොව, කේන්ද්‍රය හරහා ශ්‍රාවකයට ළඟා වේ.
තේරීම තීරණය කරන කොන්දේසි තුන
කිසිදු වින්‍යාසයකට පෙර මේවා ලියන්න. මේවා සීමිත කළමනාකරණ පිවිසුමක් හා ජාල දිගුවක් අතර මායිම වන අතර, ඒවා මිශ්‍ර කිරීම පේළි පහක උමගක් හිමිකරු නැති පැතලි ජාලයක් බවට පත්වන මාර්ගයයි.
| Condition | Reverse tunnel fits | Something else is needed |
|---|---|---|
| How many services must be reachable? | One, or a small fixed set on loopback | Anything that needs many ports or dynamic discovery |
| Who connects, and how are they authenticated? | Named administrators with their own hub accounts | Third parties, or anything needing per-flow audit you do not control |
| Does the device's own LAN need to be reachable? | No | Yes, so a routed VPN or a managed platform is the honest answer |
තුන්වන පේළිය මිනිසුන් තර්ක කරන පේළියයි. උපාංගයක SSH වරායට උමගක් එහි අසල්වැසියන් ඔබේ ජාලයට ගෙන නොඑන අතර, තවත් යොමු කිරීම් දාමයක් හරහා එසේ වන බව පෙනෙන්නට සැලැස්විය යුතු නැත. අවශ්‍යතාව සැබවින්ම LAN නම්, එය කියා ඒ වෙනුවට එය නිර්මාණය කරන්න.
කේන්ද්‍ර පැත්ත: සීමිත රිලේ ගිණුමක්
සෑම උපාංගයකටම පොදු යතුරු සත්‍යාපනය සහිත සහ අන්තර්ක්‍රිය සැසියක් නොමැති තමන්ගේම රිලේ ගිණුමක් දෙන්න. Match එම ගිණුමට සීමා වූ කොටස අවසරය කුඩාවට තබා ගන්නා අතර, පෞද්ගලික යතුර එය අයත් වන උපාංගයේම රැඳේ.
Match User relay-dev-7
AuthenticationMethods publickey
PubkeyAuthentication yes
AllowTcpForwarding remote
PermitListen 127.0.0.1:21022
GatewayPorts no
MaxSessions 0
PermitTTY no
X11Forwarding no
AllowAgentForwarding noMaxSessions 0 සිත්ගන්නා පේළියයි. එය shell සහ උපපද්ධති සැසි ප්‍රතික්ෂේප කරන අතරම උපාංගයට අවශ්‍ය යොමු කිරීමට ඉඩ දෙයි, එබැවින් සොරකම් කළ යතුරක් අන්තර්ක්‍රිය පිවිසුමක් බවට පත් කළ නොහැක. PermitListen කේන්ද්‍ර පැත්තේ ශ්‍රාවකයේ ලිපිනය සහ වරාය සවි කරයි, සහ GatewayPorts no කේන්ද්‍රය පිහිටන ජාලයට එය විවෘත කරන වෙනුවට loopback මත තබා ගනී.
නැවත පූරණය කිරීමට පෙර ඵලදායී වින්‍යාසය පරීක්ෂා කරන්න, එසේ කරන අතරතුර දෙවන සැසියක් විවෘතව තබන්න. Match කොටස අහම්බෙන් සැමට අදාළ වුවහොත්, හෝ විකල්ප නාමයක ටයිප් දෝෂයක් තිබුණොත්, ඔබ දෘඩාංගකරණය කරන පෙට්ටියෙන් ඔබවම අගුළු දැමීමේ සම්ප්‍රදායික ක්‍රමය එයයි. ධාවනය වන වින්‍යාසය ගොනු කර විකල්ප නැවත කියවන්න, ඔබ දැන් ලියූ ගොනුව විශ්වාස කරන වෙනුවට. විකල්ප සහාය ගොඩනැගීම් අතර වෙනස් වන බව සලකන්න, එබැවින් නව සේවාදායකයක පිළිගත් පේළියක් පැරණි එකක් විසින් සරලව නොසලකා හැරිය හැක.
උපාංග පැත්ත: හයියෙන් අසාර්ථක වන යොමු කිරීම
උපාංගය සම්බන්ධතාව විවෘත කර ශ්‍රාවකය ඉල්ලා සිටී. තර්කයේ ලිපින දෙක -R වෙනස් අර්ථ දෙයි, ඒවා වමේ සිට දකුණට කියවීම කුමක් කුමක්ද යන්න මතක තබා ගැනීමට වේගවත්ම ක්‍රමයයි.
ssh -NT \
-o ExitOnForwardFailure=yes \
-o ServerAliveInterval=30 \
-o ServerAliveCountMax=3 \
-R 127.0.0.1:21022:127.0.0.1:22 \
[email protected]වම් යුගලය කේන්ද්‍රය සවන් දිය යුතු තැනය. දකුණු යුගලය ඉල්ලීමක් පැමිණි විට උපාංගය සම්බන්ධ වන දෙයයි, එය උපාංගයේම පැත්තෙන් විසඳනු ලැබේ. ඒවා මාරු කිරීමෙන් පිරිසිදුව ඉහළ එන සහ වැරදි තැනකට යොමු කරන උමගක් සෑදෙයි, එය අසාර්ථකත්වයට වඩා නරකය.
ExitOnForwardFailure=yes ඉල්ලූ ශ්‍රාවකය ස්ථාපිත කළ නොහැකි විට විධානය පිටවීමට සලස්වයි, එබැවින් නැවත ආරම්භක ලූපය අඩක් ක්‍රියාත්මක වන සැසියක් තැබීම වෙනුවට ඔබට සත්‍යය කියයි. දේශීය SSH සේවය පසුව සුවපත් ද යන්න ගැන එය කිසිවක් නොකියයි, එබැවින් එය ක්‍රියාවලි කළමනාකරුවෙකු සහ විටින් විට සැබෑ සම්බන්ධතා පරීක්ෂණයක් සමඟ යුගල කරන්න.
අමතර පිම්මක් වළක්වා ගැනීමට loopback සවන්දීමේ ලිපිනය කිසි විටෙකත් වල්පතකින් ප්‍රතිස්ථාපනය නොකරන්න. එම එකම වෙනස කළමනාකරණ මාර්ගයක් හා පොදුවේ ළඟා විය හැකි වරායක් අතර වෙනසයි, එය සාමාන්‍යයෙන් නිදොස් කිරීමේදී සිදු වී පසුව රැඳේ. සගයෙකුට කේන්ද්‍රය හරහා වරායට ළඟා විය නොහැකි නම්, බැඳීම පුළුල් කරන වෙනුවට පිම්මේ වින්‍යාසය අලුත්වැඩියා කරන්න. මෙම නිර්මාණයේ සමස්ත ආරක්ෂක තර්කය loopback ය.
කේන්ද්‍රය හරහා පරිපාලක ප්‍රවේශය
කේන්ද්‍රයේ සාමාන්‍ය ගිණුමක් ඇති පරිපාලකයෙකුට එය හරහා යොමු කළ වරායට පනින්නට හැක. රිලේ ගිණුම මේ සඳහා භාවිත නොවේ, ඒවා වෙන් කර තැබීමේ අර්ථයද එයයි.
ssh -J [email protected] -o HostKeyAlias=device-7 \
-p 21022 [email protected]ඔබ තෝරාගත් අන්වර්ථ නාමය යටතේ උපාංගයේ සත්කාරක යතුර සත්‍යාපනය කරන්න, මන්ද එම යතුර දාමයේ අන්තයේ උපාංගය හඳුනා ගන්නා අතර උමග පමණක් ප්‍රවාහනයකි. අන්තයේ සිට අන්තයට පිවිසුම තවමත් දෙපැත්තම සත්‍යාපනය කරයි; හවුල් කේන්ද්‍රයක අවසන් වන උමගක් එය තනිවම විශ්වාසනීය මාර්ගයක් නොකරයි.
ජීවන චක්‍රයේ හිමිකාරිත්වය ගන්න
උපාංග විධානය ක්‍රියාවලි කළමනාකරුවෙකු යටතේ හරියටම එක් සක්‍රීය අවස්ථාවක් සහ ඔබ හිතාමතා තෝරාගත් නැවත ආරම්භක ප්‍රතිපත්තියක් සමඟ ධාවනය කරන්න. keepalive විකල්ප මළ සහකරුවා හඳුනා ගනී; ඒවා පිටව ගිය ක්‍රියාවලියක් නැවත ජීවත් කරන්නේ නැත.
ඉන්පසු ඉවත් කිරීමේ ක්‍රියාපටිපාටිය ලියන්න. සෑම උපාංගයකටම තමන්ගේම ශ්‍රාවකයක් සහ තමන්ගේම යතුරක් ලැබෙන බැවින්, ඉවත් කිරීම යනු එම ගිණුම අවලංගු කර එම යතුර ඉවත් කිරීමයි, සමස්ත බලඇණිය බෙදාගන්නා රහසක් කරකැවීම නොවේ.
අවසාන වශයෙන්, loopback ඔබට ලබා දෙන දෙය මතක තබා ගන්න. එය ජාල නිරාවරණය සීමා කරන අතර හවුල් කේන්ද්‍රයක අනෙකුත් දේශීය පරිශීලකයින් ගැන කිසිවක් නොකරයි, එබැවින් කේන්ද්‍රයේම ප්‍රවේශ ප්‍රතිපත්තිය තවමත් නිවැරදි විය යුතුය. sshd_config සමුද්දේශය ඉහත භාවිතා කළ සෑම විකල්පයක්ම ලේඛනගත කරයි, ඒවායින් එකක් හෝ පුළුල් කිරීමට පෙර යොමු කිරීමේ කොටස් සම්පූර්ණයෙන් කියවීම වටී.