Привязка SOCKS прокси к keepalive виртуальному ip

331
Joe Sinfield

Я создаю прокси-сервер SOCKS с использованием переадресации динамического порта OpenSSH на ssh-сервере в кластере keepalive, содержащем 3 машины.

  • Виртуальный ip этого кластера 1.1.1.4.
  • Главный узел кластера - 1.1.1.3.
  • Две другие машины находятся на 1.1.1.1. & 1.1.1.2 и, вероятно, могут быть проигнорированы для этого вопроса

Я создаю свой SOCKS прокси с помощью следующей команды из моего ssh-клиента

ssh -D1080 1.1.1.4

Я отправляю свой запрос через localhost:1080машину ssh-client, и запрос успешно передается через прокси.

У меня есть брандмауэр с правилом, разрешающим прохождение трафика из 1.1.1.4. Проблема в том, что, поскольку соединение ssh с 1.1.1.4 разрешается к главному узлу на 1.1.1.3, перенаправленный запрос рассматривается как поступающий из 1.1.1.3, а не 1.1.1.4.

В результате мне потребуется настроить правило брандмауэра для всех 3 машин в этом кластере для каждого из их IP-адресов. Я бы предпочел иметь только одно правило для всех 3 на совместно используемом виртуальном IP-адресе, но для этого в качестве опции перенаправленный запрос должен рассматриваться как исходящий из виртуального IP-адреса.

Является ли моя цель непродуманной; есть ли причина, по которой это было бы нежелательно, или есть способ достичь того, чего я хочу, не создавая беспорядка?

Спасибо

Джо

0
Эта статья кажется актуальной: https://serverfault.com/questions/585264/bind-outgoing-socks-server-traffic-to-a-specific-ip Joe Sinfield 6 лет назад 0
Так как ssh не может привязаться к определенному исходящему IP-адресу на сервере (как подтверждает приведенный выше ответ), я не думаю, что адрес поддержки активности считается сетевым интерфейсом узла и может даже не может быть обнаружен с помощью iptables. Если кто-то может пролить свет на то, могут ли адреса поддержки активности быть сопоставлены с использованием iptables, * или * почему брандмауэр видит нормальный трафик https, поступающий с виртуального IP-адреса keepalive, я был бы признателен. Joe Sinfield 6 лет назад 0

0 ответов на вопрос

Похожие вопросы