Mavjud HTTP proksiga SSH mahalliy yo'naltirish: ikki loopback manzil

Tasdiqlangan proksingiz sakrash xostida ishlaydi, u yerda faqat loopback da tinglaydi, shuning uchun o'sha mashinadan tashqarida hech narsa unga yetib bora olmaydi. Sizga VPN yoki yangi proksi kerak emas; sizga o'sha mashinaning bitta porti o'z portingizga ko'chirilishi kerak. Mahalliy yo'naltirish aynan shuni qiladi va bitta buyruq hamda ilovaning bitta sozlamasini talab qiladi. Chalkashlik odatda qaysi loopback manzil qaysi mashinaga tegishli ekanini aralashtirishdan kelib chiqadi.

Ruxsat etilgan proksi allaqachon bor-yo'qligini aniqlang

Bu usul allaqachon ishlab turgan xizmatni yo'naltiradi. Agar uzoq xostda faqat SSH demoni bo'lib, proksi bo'lmasa, qancha yo'naltirish qilinsa ham u yaratilmaydi va ulanish uzoq tomondan rad etiladi. Proksining bog'langanini, portini va uning 127.0.0.1 da yoki muayyan interfeys manzilida tinglashini tasdiqlang, chunki yo'naltirish aynan o'sha manzilni nishonga olishi kerak.

Buni avval tasdiqlash sizni hech qachon biror narsaga ulanmagan tunnelni tuzatishdan qutqaradi.

Yo'naltirishni quring va buyruqni o'qing

Sizga kerakli shakl noutbukingizdagi loopback portni bog'laydi va uni server tomonidan proksining manziliga server ko'radigan tarzda ulaydi.

ssh -NT -o ControlPath=none -o ExitOnForwardFailure=yes \
  -L 127.0.0.1:13128:127.0.0.1:3128 [email protected]

-N uzoq buyruqni bosadi, -T esa termios ajratilishini bosadi, chunki sizga qobiq emas, tunnel kerak. Birinchi loopback manzil noutbuk tinglaydigan joy; ikkinchisini SSH serveri hal qiladi, shuning uchun u yerdagi 127.0.0.1 o'sha mashinadagi proksini bildiradi. ExitOnForwardFailure mahalliy port allaqachon band bo'lsa, hech narsa yo'naltirmaydigan sessiya boshlash o'rniga buyruqni baland ovozda muvaffaqiyatsiz qiladi. Maqsad manzilni server hal qiladigan tarzda yozing, chunki faqat noutbukingiz hal qila oladigan nom qarshi tomonda muvaffaqiyatsiz bo'ladi.

Bularning birontasi ishlashidan oldin serverning o'z siyosati amal qiladi. AllowTcpForwarding bunga ruxsat berishi kerak, PermitOpen esa sessiya qaysi manzillar va portlarga yeta olishini cheklashi mumkin, shuning uchun mijoz qabul qilgan yo'naltirishni server baribir rad etishi mumkin. Rad etish mijozda yo'naltirish yoki kanal xatosi sifatida ko'rinadi va o'sha xabarni o'qish buyruqni tahrirlashdan tezroq.

Bitta ilovani yo'naltirishga qarating

Ilovani http://127.0.0.1:13128 manzilidagi HTTP proksidan foydalanish uchun sozlang, agar uzoq proksi talab qilsa, hisob ma'lumotlari bilan. HTTPS manzillar uchun ilovaning o'z sertifikat tekshiruvini saqlang, chunki proksi tunnel uni almashtirmaydi. Bu bitta xizmatning qat'iy yo'naltirishi, shuning uchun ilovaga proksi borligini aytish kerak, uni o'zi topishiga qoldirish emas.

Har qanday doimiy sozlashdan oldin tezkor tekshiruv: curl -x http://127.0.0.1:13128 -I https://example.com, u proksi qo'llab-quvvatlashi kerak bo'lgan HTTP CONNECT usulini mashq qiladi.

Vakolatni u qayerda bo'lsa, o'sha yerda saqlang

Uzoq proksi qaysi manzillar va usullarga ruxsat berishini haligacha o'zi hal qiladi va SSH kirish har bir hisobga jimgina umumiy veb-rele bermasligi kerak. Noutbukda 127.0.0.1 ga bog'lash portni mahalliy tarmog'ingizda e'lon qilishdan saqlaydi va portni o'sha mashinadagi boshqa jarayonlardan yopiq qilmaydi. Bu bog'lanishni proksini bo'lishish uchun wildcard manzil bilan almashtirish boshqarilmaydigan ochiq relening paydo bo'lish yo'lidir.

SSH transporti servergacha bo'lgan sakrashni himoya qiladi. Shu nuqtadan keyin proksi o'z ulanishini ochadi, shuning uchun manzilga oddiy HTTP so'rovi birinchi segment shifrlangan bo'lsa ham serverdan narida oddiy bo'lib qoladi.

Ikkala uchini tekshiring, so'ng tozalang

Mahalliy tunnelni sozlash va uzoq xizmatning muvaffaqiyati turli natijalar va buyruqning chiqish holati sizga faqat birinchisi haqida aytadi. Tinglovchi bor-yo'qligini ss -ltn bilan tekshiring, so'ng ruxsat etilgan ilova so'rovi va proksi rad etishi kerak bo'lgan so'rovni bajaring. Ikkalasi ham kutilganday ishlasa, yo'l haqiqiy; tunnel ishlab, har bir so'rov muvaffaqiyatsiz bo'lsa, proksi rad etyapti yoki manzilga yeta olmayapti.

Tugatganingizda, uni egallagan SSH jarayonini to'xtating, ilovadan proksi sozlamasini olib tashlang va vazifadan uzoq yashaydigan tinglovchini qoldirish o'rniga mahalliy port ketganini tasdiqlang.