Mpe Pi ya mbali proksi ya SOCKS kupitia mteja wako wa SSH

Uelekezaji wa nguvu wa mbali unaweka msikilizaji wa SOCKS kwenye Pi na hufanya muunganisho unaofuata kutoka kwenye njia ya VPN iliyoidhinishwa ya kompyuta yako mpakato. Bila seva ya pili ya SSH.

Unadhania kuwa proksi ya SOCKS lazima ifanye kazi pale ambapo ufikiaji wa mtandao tayari upo. OpenSSH inaweza kuweka msikilizaji mahali pengine kabisa. Uelekezaji wa nguvu wa mbali hufungua lango la SOCKS kwenye mwenyeji wa mbali na huanzisha kila muunganisho kutoka kwa mteja wako wa ndani wa SSH, ambao hubeba njia ya VPN iliyoidhinishwa ya kompyuta yako mpakato. Pi hupata proksi yenye mipaka; hairithi handaki yako wala mapendeleo yako.

Msikilizaji na upande ambao muunganisho huanzia unaweza kutofautiana

ssh -D 1080 wa kawaida hufanya msikilizaji kwenye mashine yako mwenyewe na hutuma miunganisho kutoka hapo. Uelekezaji wa nguvu wa mbali hugeuza hilo: msikilizaji huonekana kwenye mwenyeji wa mbali, na kila muunganisho anaokubali hufunguliwa kutoka upande wa ndani. mwongozo wa mteja wa OpenSSH unaandika -R bila lengo maalum kama mpangilio huu wa SOCKS4/5.

Amri inayotumika kutoka kwenye kompyuta mpakato inaonekana hivi, huku akaunti, wenyeji na lango zikichukuliwa kama nafasi za kubadilisha:

ssh -NT -S none -o ExitOnForwardFailure=yes \
  -o PermitRemoteOpen=app.corp.example:443 \
  -R 1080 [email protected]

Maelezo matatu hufanya kazi muhimu hapo. -S none huweka kipindi mbali na bwana wa udhibiti unaoshirikiwa, ExitOnForwardFailure hushindwa haraka badala ya kukuacha na kipindi kilichofunguliwa nusu, na PermitRemoteOpen hupunguza kile msikilizaji wa mbali anachoweza kufikia. Tumia akaunti ya Pi iliyoidhinishwa na uthibitishe ufunguo wa mwenyeji kabla ya kuongeza chochote kati ya haya.

Msikilizaji wa mbali huweka wazi nini hasa

Kagua sera ya uelekezaji ya seva kabla ya kumtegemea msikilizaji. Kwa GatewayPorts no uelekezaji wa mbali hubaki umefungwa kwa loopback, na hilo ndilo wazi la kufichua unalotaka. Seva iliyosanidiwa kulazimisha uelekezaji wa alama za kigeni huchapisha lango lilelile kwenye kila kiolesura, jambo linalobadilisha proksi ya kibinafsi kuwa kitu ambacho mtandao wa ndani unaweza kufikia.

Loopback pia si mpaka kwa kila mtumiaji. Mchakato mwingine kwenye Pi unaweza kuunganishwa na 127.0.0.1:1080 ikiwa unajua lango, hivyo akaunti za ndani za Pi na kila kinachoendeshwa juu yake ni sehemu ya muundo wako wa ufikiaji. Hii ni sababu ya kuweka orodha ya malengo nyembamba, si sababu ya kuruka ukaguzi wa sera.

Weka lengo lililoruhusiwa mahususi kwa programu unayojaribu kufikia. Kuibadilisha na uelekezaji usio na kikomo ili programu isiyohusiana ifanye kazi hupanua njia mbali zaidi ya tatizo uliloanzia. Orodha ya malengo pia hurekodi kipindi kilikuwa cha nini, jambo linalomsaidia yeyote atakayeikagua baadaye. Iandike kando ya akaunti uliyotumia.

Pitisha programu moja kupitia proksi

Mteja kwenye Pi anayeelewa proksi anaweza kisha kufanya ombi. Kiambishi socks5h hukabidhi jina la lengo kwa proksi, kwa hivyo utafutaji na muunganisho vyote hufanyika upande wa kompyuta mpakato, na hulingana na lengo lililotajwa katika PermitRemoteOpen:

curl --proxy socks5h://127.0.0.1:1080 \
  --noproxy '' https://app.corp.example/

Hifadhi uthibitishaji wa kawaida wa cheti na uthibitishaji wa programu yenyewe. Proksi hubadilisha mahali muunganisho wa TCP unafanywa; haifanyi huduma isiyo na uthibitisho kuwa salama, na haigeuzi kituo cha mwisho kilichojisaini kuwa cha kuaminika.

Kompyuta mpakato bado inahitaji njia yake mwenyewe na ufikiaji wa kitatuzi kwa seva ya SSH na kwa programu. Trafiki ya mteja wake wa SSH lazima ichaguliwe na sera ya VPN iliyoidhinishwa, na ubaguzi wa split-tunnel unaweza kupeleka trafiki hiyo kwenye njia tofauti na ile uliyojaribu.

Thibitisha njia na uifunge

Hakikisha kuwa msikilizaji yupo mahali unapotarajia na kwamba ni lengo lililokusudiwa pekee linalojibu:

$ ss -ltnp | grep 1080
LISTEN 0 128 127.0.0.1:1080 0.0.0.0:*
$ curl -sS -o /dev/null -w '%{http_code}\n' \
    --proxy socks5h://127.0.0.1:1080 https://app.corp.example/

ExitOnForwardFailure anaweza kuthibitisha kuwa uelekezaji ulianzishwa, na bado hawezi kuthibitisha kuwa kuingia kwenye programu kunafanikiwa chini ya mnyororo. Jaribu programu, si lango pekee. Msikilizaji anayekubali na kisha kushindwa kila ombi kwa kawaida humaanisha kuwa jina la lengo au njia ya kompyuta mpakato si sahihi, si kwamba handaki ilishindwa.

Mpangilio huu hubeba TCP pekee. UDP, ICMP na programu zinazopuuza mipangilio ya proksi hubaki nje yake, na uelekezaji huisha wakati kipindi cha SSH kinapoisha. Simamisha kipindi hicho ukimaliza na uondoe mpangilio wa proksi ulioongeza kwenye programu.

Kwa ufikiaji wa kudumu, tumia badala yake usajili unaotumika wa mmiliki wa mtandao au lango linalosimamiwa. Proksi ya kinyume ni chombo kibaya cha kukwepa vizuizi vya kifaa au rasilimali vya VPN; ikitumiwa ndani ya vizuizi hivyo, ni njia moja iliyoidhinishwa ya programu yenye mipaka iliyo wazi.

Makala zinazohusiana