Kako lokalno posredovanje SSH prenaša sejo TCP OpenVPN

Tu se plasti trije prenosi in vsak ima svoje okvirjanje. Tovor VPN potuje znotraj seje TLS, ta seja TLS potuje znotraj povezave TCP do vrat povratne zanke, bajti te povezave pa potujejo znotraj SSH do gostitelja relay, ki odpre pravo povezavo TCP do poslušalca VPN. Nič v tej ureditvi ne spremeni tega, kar OpenVPN preverja, in nič v njej ne naredi poslušalca UDP dosegljivega prek TCP. Preostanek berite kot opis poti bajtov, ne kot recept za obhod omrežnega nadzora.

Kaj lokalno posredovanje v resnici premakne

Odjemalec SSH posluša na lokalnih vratih. Ko se lokalni proces poveže, odjemalec pakira bajte v svoj šifriran kanal, strežniška stran pa odpre novo povezavo TCP do cilja, navedenega v zahtevi za posredovanje.

Ta cilj razreši relay, ne vaš stroj, zato ime, ki obstaja samo znotraj oddaljenega omrežja, še vedno deluje. To pomeni tudi, da mora relay doseči poslušalca VPN in imeti povratno pot do njega. Ime, ki se razreši na vašem prenosniku, ne pove nič o tem, kaj relay vidi.

Zagon seje SSH dokaže le, da je relay dosegljiv in preverjen. Ne pove, ali naslednji poslušalec deluje, ali požarni zid med relay in poslušalcem sprejme povezavo, ali bo VPN sprejel vaš profil.

Usmerite odjemalca na lokalnega poslušalca

Naveden primer: relay doseže poslušalca TCP na gw.internal.example:443, visoka lokalna vrata pa to pot izpostavijo samo temu stroju.

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

Priročnik OpenSSH opisuje lokalno posredovanje kot lokalno sprejemanje povezav TCP in odpiranje naslednje povezave z oddaljene strani. Poslušalca privežite na povratno zanko, ne na vse vmesnike, ker je posredovanje, dosegljivo iz omrežja, odprt relay z vašim imenom. Vezava z nadomestnim znakom izpostavi vrata tudi vsakemu drugemu lokalnemu računu na deljenem stroju.

Nato prestavite odjemalca VPN v način TCP in ga usmerite na 127.0.0.1:24011. Če profil uporablja UDP, ta zasnova ne more pomagati: posredovanje prenaša tok bajtov in skozenj ne vodi pot za datagrame.

Držite obe preverjanji ločeni

SSH preveri gostitelja relay. OpenVPN še vedno preverja partnerja VPN in cilj na povratni zanki te zahteve ne spremeni. Izklop preverjanj potrdila, ker vtičnica zdaj kaže na localhost, je najslabša bližnjica v tej zasnovi. Spremeni prenosno ureditev v ureditev zaupanja, na drugo pa ni nihče privolil.

Ohranite sidro zaupanja profila, preverjanje vloge strežnika in preverjanje imena nedotaknjene. Če vaš odjemalec primerja ime strežnika z naslovom, ki ga je klical, bo morda povratna zanka potrebovala izrecno nastavitev imena namesto izklopljenega preverjanja, dokumentacija profila pa je mesto, kjer potrdite, katero polje se primerja.

Obravnavajte relay kot drugo stran v zgodbi zaupanja: njegov skrbnik vidi metapodatke povezav in lahko preusmeri posredovanje, če se konfiguracija spremeni. Ureditev potrebuje odobritev tako relay kot lastnika storitve VPN, ne le tistega, ki jo potrebuje danes.

Ne gradite zanke pod tunelom

Ko VPN namesti poti, povezava SSH, ki jo nosi, še vedno potrebuje pot do relay, ki ne gre skozi tunel. Če se privzeta pot premakne na VPN in je relay dosegljiv le skozi isti tunel, se prenos zruši in VPN gre z njim. Okvara je videti kot padel tunel, ne kot napaka usmerjanja, zato je napačno diagnosticirana.

Običajni popravek je pot do gostitelja na naslov relay, pritrjena na fizični vmesnik pred dvigom tunela, plus preverjanje, da pot preživi ponovno povezavo. Preverite jo z iskanjem poti za naslov relay, namesto da bi domnevali, da je bil vrstni red pravilen.

Pričakujte tudi, da bo ta sklad počasnejši in bolj krhek od neposredne povezave, ker sta zdaj dva urejena prenosa in še ena končna točka za vzdrževanje. To je način prečkanja omrežne meje, ne tehnika zmogljivosti.

Ko končate, zaprite poslušalca

Ustavite sejo SSH, ko tunel ni več potreben, in potrdite, da so lokalna vrata sproščena. Pozabljeno posredovanje drži preverjeno pot odprto na stroju, ki je morda deljen.

Preglejte tudi dovoljene cilje posredovanja na relay, ker popustljiva konfiguracija spremeni vsak ogrožen račun v splošno oporno točko. Zapišite vrata, relay in cilj skupaj, da bo naslednja oseba vedela, čemu je bilo posredovanje namenjeno in ali je še odobreno.