NetworkManager-ssh hlási pripojenie, ale nič sa nesmeruje
Indikátor dokazuje len to, že spravovaný vzťah SSH existuje. Skontrolujte, či plugin vytvoril tunelové zariadenie, alebo sadu presmerovaní, a potom otestujte cestu aplikácie.
Ponuka zobrazuje pripojenie SSH ako aktívne, kľúč hostiteľa bol prijatý a prehliadač napriek tomu nedosiahne nič, čo mal dosiahnuť. Nie je to rozpor, pretože profil NetworkManager-ssh môže z rovnakého hostiteľa a rovnakého kľúča vytvoriť dva celkom odlišné výsledky: tunelové zariadenie, ktoré prenáša pakety, alebo sadu presmerovaní, ktorú môžu používať len niektoré aplikácie. Indikátor hlási, že spravovaný vzťah SSH existuje. Nikdy nehlási, ktorý z dvoch výsledkov ste dostali.
Dva výsledky za jednou položkou ponuky
Oba režimy sa autentizujú rovnako, a práve preto sa zamieňajú. Výber profilu úplne rovnakým spôsobom, s rovnakými prihlasovacími údajmi, vás môže nechať s rozhraním, cez ktoré sa dá smerovať, alebo s počúvajúcim socketom, o ktorom treba informovať jednu aplikáciu.
Začnite rozhodnutím, ktorý výsledok úloha skutočne potrebuje. Požiadavka na dostupnosť celej podsiete potrebuje zariadenie. Jediná služba na vzdialenom hostiteľovi potrebuje presmerovanie, a budovanie tunela pre ňu zvyčajne vytvorí viac práce so smerovaním, než si problém zaslúžil.
Čo musí mať každý režim predtým, ako funguje
Projekt dokumentuje oba režimy a predpoklady sa natoľko líšia, že chýbajúci vyzerá ako zlyhanie protokolu, nie ako rozhodnutie o návrhu.
| Mode | What must exist | What still has to be true |
|---|---|---|
| Tunnel device | Compatible TUN/TAP arrangement on both ends, permission, addressing | A route policy that actually sends the intended prefixes into it |
| Forwarding only | A chosen SOCKS, local-forward or remote-forward listener | A permitted destination path on the far side |
Pozorne si prečítajte pravý stĺpec, pretože tam končí väčšina takýchto tiketov. Aj dokonale postavené tunelové zariadenie pokrýva len to, čo doň smerovanie pošle, a aj dokonalé presmerovanie pomôže len aplikáciám, ktorým bolo povedané, aby ho používali.
Fiktívne rozhranie nie je tunel
V režime presmerovania plugin dokumentuje fiktívne rozhranie vytvorené na splnenie modelu pripojenia. Existuje preto, aby mal správca niečo, k čomu pripojí stav. Neprenáša ľubovoľné pakety aplikácií do vzdialenej siete a nič v jeho prítomnosti nenaznačuje, že sa IP smerovanie zmenilo.
Príklady plného tunela v projekte sa týkajú podpory tunelového zariadenia OpenSSH, takže slovo tunel na označení opisuje schopnosť, nie vašu skutočnú politiku. Skontrolujte, čo urobí jadro, a nie ako sa profil volá.
nmcli connection show --active
ip -br link
ss -lntp | grep -E "1080|8080"Potom výsledok spárujte s aplikáciou. Program, ktorý rozumie SOCKS, musí byť nakonfigurovaný na používanie proxy. Používateľ lokálneho presmerovania musí byť nasmerovaný na svoj počúvajúci socket. Ani jeden presmerovanie sám neobjaví a ani jednému nepomôže indikátor pripojenia, ktorý zozeleňal.
Pripravte vzdialenú stranu, namiesto toho, aby ste ju nútil
Bežný účet SSH sa môže autentizovať bez akéhokoľvek oprávnenia zdvihnúť vzdialené tunelové zariadenie. Projekt dokumentuje cestu bez rootu, pri ktorej správca zariadenie pre daného používateľa vopred vytvorí a klient potom zvolí zodpovedajúce číslo.
Také usporiadanie vyžaduje zosúladenie s tunelovou politikou servera a s tým, kto vlastní adresovanie vo vzdialenej sieti. Vytvorenie zariadenia samo o sebe nedáva trasy k prostriedkom, oprávnenia na presmerovanie ani spiatočnú cestu, a nič z toho nepríde preto, že ukážková konfigurácia vyzerala presvedčivo.
Čo by ste nemali robiť, je povoliť neobmedzené presmerovanie alebo vzdialené prihlásenie root, aby ukážka fungovala. Kde operátor vlastní nastavenie vzdialenej siete, použite podporované usporiadanie, ktoré tie príkazy nechá na tomto vlastníkovi, a vyhnite sa druhému pomocníkovi, ktorý pri odpojení obnovuje protirečivé adresy.
Kontext autentizácie a čo uviesť v tikete
Autentizácia má vlastný kontext. Plugin hľadá SSH agenta spojeného s používateľskou reláciou a vyžaduje, aby bol cieľový hostiteľ známy, takže kľúč, ktorý funguje v jednom termináli, sa automaticky nestane viditeľným pre autentizačnú cestu správcu. Nechajte kľúč hostiteľa zapísať a skontrolovať schváleným postupom namiesto vypnutia kontroly.
Pre podporu si poznamenajte štyri veci: plugin a verziu, zvolený režim, zamýšľanú vzdialenú identitu a rozhranie alebo počúvajúci socket, ktorý sa mal objaviť. Potom priamo otestujte vstupný bod aplikácie. Pripojený indikátor spolu s fungujúcim testom je dôkaz; samotný pripojený indikátor je tvrdenie o SSH, nie o smerovaní alebo oprávnení k prostriedku, ktoré ste sa snažili získať.