SSH యొక్క స్థానిక ఫార్వర్డ్ TCP OpenVPN సెషన్ను ఎలా మోసుకెళ్తుంది

ఇక్కడ మూడు రవాణా పొరలు ఒకదానిపై ఒకటి వస్తాయి, ప్రతి ఒక్కటి దాని స్వంత ఫ్రేమింగ్ కలిగి ఉంది। VPN పేలోడ్ TLS సెషన్ లోపల ప్రయాణిస్తుంది, ఆ TLS సెషన్ లూప్బ్యాక్ పోర్ట్ వైపు TCP కనెక్షన్ లోపల ప్రయాణిస్తుంది, ఆ కనెక్షన్ యొక్క బైట్లు SSH లోపల రిలే హోస్ట్ వైపు ప్రయాణిస్తాయి, అది VPN శ్రోత వైపు నిజమైన TCP కనెక్షన్ను తెరుస్తుంది। ఈ అమరికలో ఏదీ మార్చదు OpenVPN ధృవీకరించేదాన్ని, మరియు అందులో ఏదీ UDP శ్రోతను TCP ద్వారా చేరుకోగలిగేలా చేయదు। మిగిలినది బైట్ మార్గం వివరణగా చదవండి, నెట్వర్క్ నియంత్రణను దాటవేయడానికి వంటకంగా కాదు।

స్థానిక ఫార్వర్డ్ నిజంగా ఏమి కదిలిస్తుంది

SSH క్లయింట్ స్థానిక పోర్ట్పై వినిపిస్తుంది। స్థానిక ప్రక్రియ కనెక్ట్ అయినప్పుడు, క్లయింట్ బైట్లను తన ఎన్క్రిప్ట్ చేసిన ఛానెల్లో ప్యాక్ చేస్తుంది, సర్వర్ వైపు ఫార్వర్డ్ అభ్యర్థనలో పేర్కొన్న గమ్యస్థానానికి కొత్త TCP కనెక్షన్ తెరుస్తుంది।

ఆ గమ్యస్థానాన్ని రిలే పరిష్కరిస్తుంది, మీ యంత్రం కాదు, అందుకే దూర నెట్వర్క్ లోపల మాత్రమే ఉన్న పేరు కూడా ఇంకా పనిచేస్తుంది। దీని అర్థం రిలే VPN శ్రోతను చేరుకోగలగాలి మరియు అక్కడికి తిరిగి వెళ్లే మార్గం ఉండాలి। మీ ల్యాప్టాప్లో పరిష్కరించే పేరు రిలే ఏమి చూడగలదో గురించి ఏమీ చెప్పదు।

SSH సెషన్ ప్రారంభించడం రిలే చేరుకోగలిగేది మరియు ధృవీకరించబడింది అని మాత్రమే నిరూపిస్తుంది। తదుపరి శ్రోత నడుస్తోందా, రిలే మరియు శ్రోత మధ్య ఫైర్వాల్ కనెక్షన్ను అంగీకరిస్తుందా, లేదా VPN మీ ప్రొఫైల్ను అంగీకరిస్తుందా అని అది చెప్పదు।

క్లయింట్ను స్థానిక శ్రోత వైపు తిప్పండి

ప్రకటించిన ఉదాహరణ: రిలే gw.internal.example:443 లో TCP శ్రోతను చేరుకోగలదు, మరియు ఎత్తైన స్థానిక పోర్ట్ ఆ మార్గాన్ని ఈ యంత్రానికి మాత్రమే తెరుస్తుంది।

ssh -N -L 127.0.0.1:24011:gw.internal.example:443 [email protected]

OpenSSH మాన్యువల్ స్థానిక ఫార్వర్డ్ను TCP కనెక్షన్లను స్థానికంగా అంగీకరించడం మరియు తదుపరి కనెక్షన్ను దూర వైపు నుండి తెరవడం అని వివరిస్తుంది। శ్రోతను అన్ని ఇంటర్ఫేస్లకు కాకుండా లూప్బ్యాక్కు కట్టండి, ఎందుకంటే నెట్వర్క్ నుండి చేరుకోగలిగే ఫార్వర్డ్ మీ పేరుతో ఉన్న తెరిచిన రిలే। వైల్డ్కార్డ్ బైండ్ పంచుకున్న యంత్రంలోని ఏ ఇతర స్థానిక ఖాతాకైనా పోర్ట్ను తెరుస్తుంది।

తర్వాత VPN క్లయింట్ను TCP మోడ్లో ఉంచి 127.0.0.1:24011 వైపు తిప్పండి। ప్రొఫైల్ UDP ఉపయోగిస్తే, ఈ రూపకల్పన సహాయపడదు: ఫార్వర్డ్ బైట్ స్ట్రీమ్ను మోసుకెళ్తుంది, దాని ద్వారా డేటాగ్రామ్ మార్గం లేదు।

రెండు ధృవీకరణలను వేరుగా ఉంచండి

SSH రిలే హోస్ట్ను ధృవీకరిస్తుంది। OpenVPN ఇప్పటికీ VPN సహచరుడిని ధృవీకరిస్తుంది, లూప్బ్యాక్ గమ్యస్థానం ఆ షరతును మార్చదు। సాకెట్ ఇప్పుడు localhost వైపు చూపుతోంది కాబట్టి సర్టిఫికెట్ తనిఖీలను ఆపివేయడం ఈ రూపకల్పనలో అతి చెడ్డ షార్ట్కట్। అది రవాణా అమరికను విశ్వాస అమరికగా మారుస్తుంది, రెండవదానికి ఎవరూ అంగీకరించలేదు।

ప్రొఫైల్ విశ్వాస యాంకర్, సర్వర్ పాత్ర తనిఖీ మరియు పేరు ధృవీకరణను చెక్కుచెదరకుండా ఉంచండి। మీ క్లయింట్ సర్వర్ పేరును అది డయల్ చేసిన చిరునామాతో పోల్చినట్లయితే, లూప్బ్యాక్కు ఆపివేసిన తనిఖీకి బదులు స్పష్టమైన పేరు సెట్టింగ్ అవసరం కావచ్చు, మరియు ఏ ఫీల్డ్ పోల్చబడుతుందో నిర్ధారించే స్థలం ప్రొఫైల్ పత్రాలు।

విశ్వాస కథలో రిలేను రెండవ పక్షంగా పరిగణించండి: దాని నిర్వాహకుడు కనెక్షన్ మెటాడేటాను చూడగలరు మరియు కాన్ఫిగరేషన్ మారితే ఫార్వర్డ్ను మరో వైపు తిప్పగలరు। ఈ అమరికకు రిలే మరియు VPN సేవా యజమాని ఇద్దరి ఆమోదం అవసరం, ఈరోజు అవసరమైన వారి మాత్రమే కాదు।

సొరంగం కింద లూప్ నిర్మించవద్దు

VPN మార్గాలను ఇన్స్టాల్ చేసిన తర్వాత కూడా దాన్ని మోసుకెళ్లే SSH కనెక్షన్కు సొరంగం గుండా పోని రిలే మార్గం అవసరం। డిఫాల్ట్ మార్గం VPN వైపు మారి, రిలే అదే సొరంగం ద్వారా మాత్రమే చేరుకోగలిగితే, రవాణా కుప్పకూలుతుంది మరియు VPN కూడా దానితో పాటు పోతుంది। వైఫల్యం రూటింగ్ తప్పుగా కాకుండా పడిపోయిన సొరంగంలా కనిపిస్తుంది, అందుకే తప్పుగా నిర్ధారణ చేయబడుతుంది।

సాధారణ పరిష్కారం సొరంగం లేచే ముందు భౌతిక ఇంటర్ఫేస్కు పిన్ చేసిన రిలే చిరునామాకు హోస్ట్ మార్గం, దానితో పాటు తిరిగి కనెక్ట్ అయిన తర్వాత కూడా మార్గం నిలిచి ఉంటుందని తనిఖీ। క్రమం సరైనదని ఊహించడం బదులు రిలే చిరునామా కోసం మార్గ శోధనతో దాన్ని ధృవీకరించండి।

ఈ కుప్ప నేరు కనెక్షన్ కంటే నెమ్మదిగా మరియు సున్నితంగా ఉంటుందని ఆశించండి, ఎందుకంటే ఇప్పుడు రెండు క్రమబద్ధ రవాణాలు మరియు నిర్వహించడానికి మరో ముగింపు బిందువు ఉన్నాయి। ఇది నెట్వర్క్ సరిహద్దును దాటే మార్గం, పనితీరు పద్ధతి కాదు।

పూర్తయిన తర్వాత శ్రోతను మూసివేయండి

సొరంగం అవసరం లేనప్పుడు SSH సెషన్ను ఆపండి, మరియు స్థానిక పోర్ట్ విడుదలైందని నిర్ధారించండి। మరచిపోయిన ఫార్వర్డ్ పంచుకోగల యంత్రంపై ధృవీకరించిన మార్గాన్ని తెరిచి ఉంచుతుంది।

రిలే యొక్క అనుమతించిన ఫార్వర్డ్ గమ్యస్థానాలను కూడా సమీక్షించండి, ఎందుకంటే అనుమతించే కాన్ఫిగరేషన్ ఏదైనా రాజీపడిన ఖాతాను సాధారణ ఆధారంగా మారుస్తుంది। పోర్ట్, రిలే మరియు గమ్యస్థానాన్ని కలిసి నమోదు చేయండి, తదుపరి వ్యక్తి ఫార్వర్డ్ ఎందుకు ఉందో మరియు ఇంకా ఆమోదించబడిందో తెలుసుకోవడానికి।