TLS asal, gudbin SSH ama VPN loogu talagalay hal adeeg daruuri

Su'aashu marar dhif ah ma aha in wax lagu sir geliyo laba mishiin oo daruuri ah; waa interface kee aad sir gelinaysid iyo cidda hubinaysa aqoonsiga cidda. Waxaan wadaaggan ka bilaabaa adeegga halkii aan ka bilaabi lahaa jaantuska shabakadda, sababtoo ah adeeggu horeyuu u yaqaan waxa uu u baahan yahay. Saddex xad ayaa daboolaya inta badan kiisaska: TLS ee barnaamijka laftiisa, hal port TCP oo SSH lagu gudbiyo, iyo dabool la maro oo siinaya qof kasta oo ka qaybgalaya cinwaan. Laguma kala saaro xoogga, laakiin waxaa lagu kala saaraa inta uu daboolayo dhibaatada.

Ka bilow adeegga, ma aha shabakadda

Ka bax hawsha dibadda. Waa maxay borotokoolka uu ku hadlo, magac kee ayuu macmiilku xaqiijin doonaa, oo yaa loo oggol yahay inuu xiriir furo? Saddexdan jawaab ayaa ka saaraya xulashooyinka si ka dhaqso badan shax kasta oo isbarbardhig ah, oo habaynta adeegga laftiisa ayaa inta badan ka jawaabta dhowr daqiiqo gudahood.

Qaado API gudaha ah oo yar oo horey ugu adeegaya HTTPS port 8443 oo leh shahaado loogu talagalay api.internal.example. ss -ltnp ee martida wuxuu muujinayaa waxa uu ku xidhan yahay, openssl s_client -connect 127.0.0.1:8443 -verify_hostname api.internal.example na wuxuu muujinayaa in shahaadadu ansax tahay magaca macmiilku dhab ahaan isticmaali doono. Haddii labaduba caafimaad qabaan, adeeggu wuu ilaalin karaa qulqulkiisa oo kaliya gaaritaanku wuu hadhayaa. Taasi waa dhibaato aad uga yar dhisidda shabakad.

Tallaabo 1: adeeggu ma is ilaaliyaa?

Kani waa xulashada la qaato marka ay ku habboon tahay, oo waxay ku habboon tahay inta badan kooxuhu qiyaasaan. Sir-gelinta adeeggu waxay daboolaysaa dhammaan wadada u dhexeysa macmiilka iyo server-ka, oo ay ku jirto bood kasta oo dhexdooda ah, taas oo aan tunnel kasta oo ku wareegsan dhexda hagaajin. Deji magaca la filayo iyo kalsoonida si cad halkii aad ku tiirsanaan lahayd waxa kaydka caadiga ah ee macmiilku si shil ah u leeyahay.

Sir-gelinta iyo gaaritaanku waxay ahaanayaan kontoroolo gooni ah, oo isku darkooda waa halka xulashadani khalad ku noqoto. Adeeg TLS oo ku jira dhagayste dadweyne oo aan xaddidnayn wali wuxuu aqbalaa isku dayo xiriir qof kasta, markaa dhagaystaha iyo xeerarka shabakadda waa in si madax banaan loo qeexaa iyadoo aan loo eegin in xamuulku ilaalisan yahay. Kadib hubi ku-tiirsanaanta, sababtoo ah API dul saaran TLS waxba kama sheegto barta ogaanshaha, port maamulka ama kanaalka wareejinta badan ee agtiisa. Mid kastaa wuxuu u baahan yahay jawaabtiisa, oo hal walaal oo aan la ilaalin ayaa ku filan inuu xadka oo dhan khiyaali ka dhigo.

Tallaabo 2: hal port TCP ma yahay shuruudda oo dhan?

Marka shuruuddu dhab ahaan tahay hal port TCP, gudbintu waa shayga ugu yar ee shaqeeya. Gudbin SSH maxalli ah waxay qaadaa portkaas iyada oo loo marayo xiriir horey u xaqiijisan oo jira.

Qaabku waa ssh -N -L 8443:127.0.0.1:8443 [email protected], faahfaahinta muhiimka ahna waa ciwaanka bartilmaameedka: 127.0.0.1 waxaa lagu xalliyaa dhinaca fog, sidaas darteed xiriirka adeegga waxaa laga furaa bastion halkii laga furi lahaa laptop-kaaga. Ku xidh dhagaystaha maxalliga si cidhiidhi ah sida -L 127.0.0.1:8443:... si aad si shil ah ugu daabacin adeegga shabakaddaada maxalliga ah. Dhinaca server-ka, xaddid waxa akoonku gudbin karo halkii aad ku kalsoonaan lahayd dhaqanka wanaagsan ee macmiilka. PermitOpen, AllowTcpForwarding local iyo GatewayPorts no caadi ahaan waa saddexda dejinta ee relay guud u beddela kanaal gaar ah.

Qandaraasku waa cidhiidhi labada dhinac. SSH wuxuu ilaaliyaa kanaalkiisa, boodka dheeriga ah ee bastion-ka ilaa barnaamij kale wuxuu u baahan yahay ilaalin u gaar ah. Adeeg ku dhagaysanaya kaliya loopback-ka bastion-ka wuxuu leeyahay soo-gaadhista gabi ahaan ka duwan mid laga gaaro shabakad kale, gudbintuna ma beddelo taas. Hayso xaqiijinta iyo hubinta TLS ee barnaamijka halkii aad tunnel-ka u qaadan lahayd beddelkooda.

Tani waxay si fiican u shaqaysaa hal xiriir oo hal mulkiile ah. Baaxad ahaan waxay noqotaa nidaam: isku dhaca port maxalli ah, kormeer, wareegga fureyaasha iyo su'aasha cidda dib u bilaabaysa gudbinta ka dib dib u bilaabid.

Tallaabo 3: ma marinka ayaa ah shuruudda dhabta ah?

Liiskaas waa qiimaha daacadda ah ee xulashada ugu yar, taasina waa sababta kooxuhu ugu dambeyntii u beddelaan dhowr amar oo gadaal ah oo la illoobay shay la maamulo. Beddelku si otomaatig ah VPN ma aha. Haddii shuruuddu wali tahay hal port TCP, gudbin la kormeero oo leh mulkiile la diiwaangeliyay ayaa ka jaban in lagu shaqeeyo daboolka oo wuxuu ku guuldareystaa siyaabo aad arki karto. Cabbir mulkiilaha hawlgalka ka hor intaadan cabbirrin quruxda.

Marinku wuxuu noqdaa jawaabta saxda ah marka marinku yahay shuruudda. Dhowr barnaamij oo u baahan isku xirka IP caadiga ah, borotokoolo aan gudbin TCP qaadi karin, ama adeegyo u dhexeeya martida — dhammaantood waxay tilmaamaan isku jiho.

Daboolku wuxuu siinayaa ka qaybgalayaasha cinwaan iyo waddo, ka dib shaqada dhabta ah ayaa bilaabata: xaddiyo aan is-dul-saar lahayn, mulkiilaha waddooyinka, DNS, diiwaangelin, burrin iyo waxa dhaca marka saaxiibku lumo. Midkoodna lama yimaado cinwaanka. Saaxiibka la aqbalay daboolka sidoo kale si otomaatig ah looma fasaxin hawlo kasta oo ku yaal meesha loo socdo, markaa xaqiijinta heerka adeegga way sii socotaa.

Waxa aad leedahay ka dib

Laba shay ayaa ka tirsan diiwaanka aad ka tagayso. Midda ugu horreysa waa aqoonsiga macmiilku filayo inuu xaqiijiyo, sababtoo ah mid kasta oo ka mid ah xadradan si aamusan ayuu u xumaadaa marka hubinta magaca la dabacsado si wax u shaqeeyaan. Midda labaad waa tallaabada ka saarista: furee kee, xeer kee ama waddo kee ayaa lumaya marka gelitaanku dhammaado, iyo cidda sameysa.

Safar ku bilaabmay halkii ayuu ku dhammaanayaa, adeegga. Dooro xadka daboolaya taraafikada dhabta ah oo xaqiijiya saaxiibada aad u jeedday inaad xaqiijiso, ka dib qor sida gelitaanka loo cusboonaysiiyo, loo kormeero oo loo saaro. Tixraaca OpenSSH waa meesha lagu xaqiijiyo xulashooyinka gudbinta ka hor intaadan ballan qaadin qandaraas cidhiidhi ah. Haddii aadan ku sharaxi karin tallaabada ka saarista hal jumlad, xadku wuu ka weyn yahay dhibaatada.