systemd-socket-proxyd bere SSH SOCKS tunela baino gehiago iraun dezake
Bateratu socket birbidaltze-laguntzailearen bizi-zikloa SSH mendekotasunarekin, hildako tunel batek osasuntsu dirudien aurreko aldea utz ez dezan.
SSH irten ondoren aurreko atakak oraindik konexioak onartzen baditu, aztertu hiru unitateak. Aktibazio-socketak, systemd-socket-proxyd laguntzaileak eta SSHk sortutako SOCKS entzuleak bizitza desberdinak dituzte:
| Socket | Laguntzaile | SSH | Interpretazioa |
|---|---|---|---|
| Entzuten | Inaktibo | Inaktibo | Baliteke eskaeraren zain egotea normal |
| Entzuten | Aktibo | Aktibo | Prozesuak daude; helmugaren osasuna frogatu gabe dago oraindik |
| Entzuten | Aktibo | Inaktibo | Aurreko aldeak lan egin dezake bere atzeko alderik gabe |
Laguntzailea eta SSH elkarrekin abiarazteak ez du geroagoko geldialdi-trantsizioa definitzen. Tunelik gabe aktibo ez egon behar duen laguntzailearentzat, systemdek harreman sendoagoa dokumentatzen du:
[Unit]
BindsTo=ssh-socks.service
After=ssh-socks.serviceErabili unitate egokian benetako diseinuan. Requires= eta ordenak harremanaren zati bat baino ez dute jorratzen. Dagoeneko aktibo dagoen aurreko aldeak baliteke atzeko aldea desagertu ondoren aktibazioa berriro ere ez eragitea. Egiaztatu huts egindako unitateen egoera eta abiarazte-tasa mugak ere; mendekotasunek ez dituzte muga horiek gainditzen.
Ondoren ezarri abiarazteko prestutasuna. After= lanak ordenean jartzen ditu, ez Type=simple SSH entzulearen prestutasuna. Itxaronaldi finkoak huts egin dezake autentifikazio motelean. Erabili behar den entzulea ezartzen duen abiarazte-kontratua; ExitOnForwardFailure=yes birbidaltze-konfigurazioaren hutsegitea harrapatzen du, ez helmugaren geroagoko irisgarritasuna.
Azkenik, definitu alferrikako irteera eta berraktibazioa. Birbidaltze-deabruaren alferrikako irteerako aukerak konexio aktiboen eza dio, ez konexio ireki batean byteen falta. Saio isil batek aktibo mantendu dezake. Hurrengo eskaerak beharrezko zerbitzuak aktibatu beharko lituzke, eta berrabiarazte-begiztak mugatuta eta ikusgai egon beharko lirateke. Entzulea berriz sortzeak konexio berriak onartzen ditu; ez ditu lehenagoko proxy bidezko TCP saioak berreskuratzen.