Tareenka app-ka ee SSH forward uu dhab ahaan qaado waa kee?

Terminalku wuu isku xidhaa, calaamaddu way soo baxdaa, qof walbana wuu ogol yahay in gelitaanka SSH uu shaqeeyo. Kadib macmiilka xogta xogta ee laptop-ka weli ma gaadho martigeliyaha gaarka ah, oo fadhiga ayaa la eedeeyaa. Waxa la dhisay qolof, waana mid ka mid ah afar is-dhexgal oo aad u kala duwan oo SSH uu bixin karo. Marka hore magaca is-dhexgalka, kadibna tijaabi in app-ku dhab ahaan isticmaalo. Nidaamku waa muhiim, sababtoo ah is-dhexgal kastaa si u gaar ah ayuu u guuldareystaa.

Magaca is-dhexgalka ka hor inta aadan wax barbardhig

buug-gacmeedka macmiilka OpenSSH wuxuu kala saaraa afar hab oo sahlan in la isku qaldo. Qolof ama amar fog waxaa lagu fuliyaa martigeliyaha SSH. Gudbin maxalli ah wuxuu macmiilka ka furaa socket dhegeysanaya wuxuuna xiriirka xiga ka sameeyaa dhinaca fog. Gudbin fog waxay samaysaa liddi, iyada oo dhegeysanaysa dhinaca server-ka. Gudbinta firfircoon waxay bixisaa bartilmaameed SOCKS ah barnaamijyada yaqaan sida loo isticmaalo.

• Qolof: barnaamijku wuxuu ku socdaa mishiinka fog, waxba maxalli ahaan ma dhegeysto.
• Gudbin maxalli ah: laptop-kaagu wuxuu leeyahay deked, martigeliyaha fog wuxuu sameeyaa xiriirka baxa.
• Gudbin fog: dhinaca fog wuxuu leeyahay deked, tareenku wuu ku soo noqdaa adiga.
• Firfircoon: SOCKS proxy macmiilka, waxaa isticmaala oo kaliya app-yada fahma proxy-ga.

Midna kuwan kama dhigto waddo. Barnaamij iska indha tira deegaanka proxy-ga, ama ku hadla UDP, ama magacyada isagu xalliya, laguma saameeyo fadhi SSH firfircoon. Tani khalad SSH ma aha; waa baaxadda is-dhexgalka aad dooratay.

Gudbinta maxalliga, fogaanta iyo firfircoon waxay ku kala duwan yihiin cidda dhegeysanaysa

Farqiga go'aamiya inta badan kiisaska waa cidda leh socket-ka dhegeysanaya. Gudbinta maxalliga ah macmiilka ayaa dhegeysta oo cidhifka fog ayaa wacaa bartilmaameedka, taas ayaa sababta ciwaanka bartilmaameedka looga xalliyo aragtida server-ka. Gudbinta fog server-ka ayaa dhegeysta oo xiriirka dib ayaa loo qaadaa dhinacaaga, sidaas oo ah ayaad u bandhigtaa adeeg maxalli ah adigoon si toos ah u daabicin.

ssh -N -L 5432:db.internal.example:5432 [email protected]
ssh -N -D 1080 [email protected]
ss -ltnp | grep -E '5432|1080'

Amarka koowaad wuxuu laptop-ka ku xidhaa dekedda 5432 wuxuuna u gudbiyaa xogta xogta sida laga arko bastion-ka. Kan labaad wuxuu dekedda 1080 ku abuuraa SOCKS proxy. Amarka saddexaad wuxuu xaqiijiyaa hababka dhab ahaan dhegeysanaya, waana caddaynta kaliya ee ah in gudbintu jirto halkii ay si aamusan ugu guuldareystay isku dhaca dekedda.

Gudbinta firfircoon waxay mudan tahay digniin u gaar ah: waxay daboolaa oo kaliya app-yada ixtiraama SOCKS. Browser-ka ayaa loo jeedin karaa, qalabka khadka amarka ayaa la dhihi karaa ha isticmaalo, laakiin darawalka xogta xogta oo leh stack xiriir u gaar ah sida caadiga ah ma karo. Male-awaalka ah in barnaamij kasta oo mishiinka ku jira uu hadda isticmaalo tunnel-ka waa khaladka ugu badan dhanbaaxadda tan oo dhan.

Habka qalabka tunnel waa ka reebnaanta shabakadda ee kaliya ee dhabta ah

OpenSSH waxay kaloo taageertaa gudbinta qalabka tunnel -w, oo dhaqaajisa is-dhexgal dhibic-ilaa-dhibic halkii dhegeyste TCP. Taasi waa tunnel shabakadeed dhab ah, oo si ula kac ah loo habeeyay, ma aha natiijada dhinac ee furitaanka qolof.

sudo ssh -w 0:0 [email protected]
ip addr show tun0

Waxay u baahan tahay lambarrada is-dhexgalka ku habboon oo laga heli karo labada cidhif, habaynta saxda ah ee server-ka iyo mudnaan ku filan macmiilka si qalabka loo abuuro. Waxay kaloo u baahan tahay qorshe ciwaan iyo waddo, sababtoo ah is-dhexgal qaawan ma qaado wax siyaasad ah oo ku saabsan bartilmaameedyada ay tahay inay isticmaalaan.

Xitaa markaas tunnel-ku wuxuu ku dhammaadaa martigeliyaha fog. Ilaalinta kasta oo gaadiidka SSH bixiyay halkaas ayay ku dhammaataa, xiriirka xigana waa boodid gooni ah. Gateway VPN waxay leedahay isla qaabka xadka, taas ayaa sababta barbardhiggu ku saabsan tahay baaxadda iyo dhammaadka halkii ay ku saabsan lahaa qalabka kee ayaa xoog badan. Magacaabista xadkaas cod dheer waxay kaloo xallinaysaa doodda ku saabsan in tunnel-ku «wax walba sirteeyo», sababtoo ah si cad ma sameeyo.

Tijaabi in app-kaagu isticmaalo is-dhexgalka aad dhistay

Xaqiijintu waa mid app kasta, ma aha fadhi kasta. Gudbin shaqaynaysa waxay caddaynaysaa in dekeddu xidhan tahay oo dhinaca fog wici karo; ma caddaynayso in barnaamijka aad danaynayso uu dhex maray.

curl -sS --socks5-hostname 127.0.0.1:1080 -o /dev/null -w '%{http_code}\n' https://app.internal.example/health
psql "host=127.0.0.1 port=5432 dbname=app sslmode=require" -c 'select 1'

Amarka koowaad wuxuu codsi u diraa bartilmaameedka SOCKS isagoo magaca martigeliyaha fog ka xallinaya, kan labaadna wuxuu tijaabiyaa dekedda xogta xogta ee la gudbiyay iyadoo TLS weli loo baahan yahay. Ku socodsii isla tijaabooyinka gudbinta la joojiyay si aad u xaqiijiso inay guuldareystaan, sababtoo ah tijaabo labada dhinacba gudubta weligeed ma isticmaalin tunnel-ka.

Kadib la barbardhig VPN la marayo oo kaliya cabbirrada muhiimka ah: bartilmaameedyada la daboolay, borotokoolada shaqeeya, halka ilaalintu ku dhammaato iyo cidda u baahan inay oggolaato gelitaanka. Gudbinta hal adeeg waxay noqon kartaa jawaabta cidhiidhi ah oo ka wanaagsan, halka VPN uu yahay qaabka saxda ah marka app-yo badan u baahan yihiin isla waddada shabakadda. Midkoodna ma bixiyo waxa kasta oo laga gaari karo cidhifkiisa fog.