Masofadagi Pi ga SSH mijozi orqali SOCKS proksi bering

Siz SOCKS proksi tarmoq ruxsati allaqachon mavjud bo'lgan joyda ishlashi kerak deb o'ylaysiz. OpenSSH tinglovchini butunlay boshqa joyga qo'yishi mumkin. Masofaviy dinamik yo'naltirish masofadagi xostda SOCKS portini ochadi va har bir ulanishni noutbukingizning tasdiqlangan VPN yo'lini olib yuruvchi mahalliy SSH mijozingizdan boshlaydi. Pi cheklangan proksi oladi; u sizning tunnel yoki imtiyozlaringizni meros olmaydi.

Tinglovchi va ulanish boshlanadigan tomon har xil bo'lishi mumkin

Oddiy ssh -D 1080 tinglovchini o'z mashinangizda ishga tushiradi va ulanishlarni o'sha yerdan yuboradi. Masofaviy dinamik yo'naltirish buni teskari qiladi: tinglovchi masofadagi xostda paydo bo'ladi va u qabul qiladigan har bir ulanish mahalliy tomondan ochiladi. OpenSSH mijozi qo'llanmasi qat'iy manzilsiz -R ni aynan shu SOCKS4/5 tartibi sifatida hujjatlashtiradi.

Noutbukdan qo'llab-quvvatlanadigan buyruq shunday ko'rinadi, unda hisob, xostlar va port o'rin egallovchi deb qaraladi:

ssh -NT -S none -o ExitOnForwardFailure=yes \
  -o PermitRemoteOpen=app.corp.example:443 \
  -R 1080 [email protected]

U yerda uchta tafsilot foydali ish qiladi. -S none seansni umumiy boshqaruv masteridan uzoq tutadi, ExitOnForwardFailure sizni yarim ochiq seans bilan qoldirish o'rniga tezda muvaffaqiyatsiz bo'ladi, PermitRemoteOpen esa masofaviy tinglovchi qayerga yeta olishini cheklaydi. Ruxsat etilgan Pi hisobidan foydalaning va bulardan biror narsani qo'shishdan oldin xost kalitini tekshiring.

Masofaviy tinglovchi aslida nimani ochib beradi

Tinglovchiga tayanishdan oldin serverning yo'naltirish siyosatini tekshiring. GatewayPorts no bilan masofaviy yo'naltirish loopback ga bog'langan holda qoladi va bu siz xohlagan darajadagi ta'sir. Joker belgili yo'naltirishni majburlash uchun sozlangan server o'sha portni har bir interfeysda e'lon qiladi, bu shaxsiy proksini mahalliy tarmoq yeta oladigan narsaga aylantiradi.

loopback ham har bir foydalanuvchi uchun chegara emas. Pi dagi boshqa jarayon portni bilsa 127.0.0.1:1080 ga ulanishi mumkin, shuning uchun Pi ning mahalliy hisoblari va unda ishlaydigan hamma narsa sizning kirish dizayningiz qismidir. Bu manzillar ro'yxatini tor tutish uchun sabab, siyosat tekshiruvini o'tkazib yuborish uchun sabab emas.

Ruxsat etilgan manzilni siz erishmoqchi bo'lgan ilovaga xos qilib turing. Uni cheksiz yo'naltirish bilan almashtirish, aloqasiz dastur ishlashi uchun, yo'lni siz boshlagan muammodan ancha uzoqqa kengaytiradi. Manzillar ro'yxati seans nima uchun bo'lganini ham qayd etadi, bu keyinchalik uni audit qiladigan kishiga yordam beradi. Uni ishlatgan hisobingiz yoniga yozib qo'ying.

Bitta ilovani proksi orqali o'tkazing

Pi dagi proksini tushunadigan mijoz keyin so'rov yuborishi mumkin. socks5h prefiksi manzil nomini proksiga beradi, shuning uchun qidiruv ham, ulanish ham noutbuk tomonida bo'ladi va PermitRemoteOpen da nomlangan manzilga mos keladi:

curl --proxy socks5h://127.0.0.1:1080 \
  --noproxy '' https://app.corp.example/

Oddiy sertifikat tekshiruvi va ilovaning o'z autentifikatsiyasini saqlang. Proksi TCP ulanishi qayerda o'rnatilishini o'zgartiradi; u autentifikatsiyasiz xizmatni xavfsiz qilmaydi va o'z-o'zidan imzolangan yakuniy nuqtani ishonchliga aylantirmaydi.

Noutbukka hali ham o'z marshruti va SSH serveriga hamda ilovaga hal qiluvchiga kirish kerak. Uning SSH mijozi trafigi tasdiqlangan VPN siyosati bilan tanlanishi kerak va split-tunnel istisnosi bu trafikni siz sinagan yo'ldan boshqa yo'lga yuborishi mumkin.

Yo'lni isbotlang va uni yoping

Tinglovchi siz kutgan joyda ekanini va faqat mo'ljallangan manzil javob berishini tasdiqlang:

$ ss -ltnp | grep 1080
LISTEN 0 128 127.0.0.1:1080 0.0.0.0:*
$ curl -sS -o /dev/null -w '%{http_code}\n' \
    --proxy socks5h://127.0.0.1:1080 https://app.corp.example/

ExitOnForwardFailure yo'naltirish o'rnatilganini isbotlay oladi va baribir ilovaga kirish quyi oqimda muvaffaqiyatli bo'lishini tasdiqlay olmaydi. Faqat portni emas, ilovani sinang. Qabul qilib, keyin har bir so'rovni muvaffaqiyatsiz qiladigan tinglovchi odatda tunnel ishlamaganini emas, manzil nomi yoki noutbuk marshruti xato ekanini bildiradi.

Bu tartib faqat TCP tashiydi. UDP, ICMP va proksi sozlamalarini e'tiborsiz qoldiradigan dasturlar uning tashqarisida qoladi va yo'naltirish SSH seansi tugagan lahzada tugaydi. Ish tugagach o'sha seansni to'xtating va ilovaga qo'shgan proksi sozlamasini olib tashlang.

Doimiy kirish uchun uning o'rniga tarmoq egasining qo'llab-quvvatlanadigan ro'yxatga olishi yoki boshqariladigan shlyuzdan foydalaning. Teskari proksi VPN ning qurilma yoki resurs cheklovlarini chetlab o'tish uchun noto'g'ri vosita; ular ichida ishlatilsa, u aniq chegaralarga ega bitta ruxsat etilgan ilova yo'lidir.