Глоссарий
Туннель SSH
Туннель SSH это шифрованное подключение к вашему серверу, которое выводит трафик браузера через его адрес.
Что получает браузер
Браузер не знает про SSH ничего и знать не должен. Рядом с профилем идёт туннель и открывает на петле настоящий вход SOCKS5.
Для движка это обычный местный адрес. Ни одна дорога запуска не становится особенной, и незнакомый вид связи не понижается до обычного прокси за вашей спиной.
Обрыв не выпускает трафик наружу
Вход на петле принадлежит самому туннелю и умирает вместе с ним. Каждый запрос из этого окна получает отказ, а не другую дорогу.
Порт уходит вместе с туннелем
Порт выдаёт сам туннель, и больше его не слушает никто. Тихой второй дороги браузеру не найти даже на своей же машине.
Запуск отказывает, когда выход выразить нечем
Профиль, чей выход нечем передать движку, не открывается вовсе. Замок стоит на каждой дороге запуска, а не на одной кнопке.
Туннель не притворяется живым
Не сумев занять свой порт, туннель останавливается. Иначе он стоял бы поднятым и не вёз ничего, а окно молчало бы без причины.
Мёртвое окно это безопасный исход
Обрыв замечают, а не прячут
Связь опрашивается коротким шагом, поэтому умерший туннель считается мёртвым за секунды, а не к следующей странице.
Дальше он поднимается заново на том же порту, до трёх раз. Окно держит тот вход, о котором ему сказали, а если попытки не помогли, вам называют упавший профиль.
Куда девается пароль
Только не в командную строку: её читает любая программа, работающая под вашей учётной записью. Пароль спрашивают через безымянный канал в папке для одного хозяина и стирают сразу после чтения, так что на диске его содержимого не бывает вовсе.
В Windows безопасного хода отдать пароль нет, поэтому запись там берёт файл ключа, и программа говорит это вслух, а не падает молча.
Часто путают с этим
VPN
VPN уводит всю машину целиком, вместе с чужими окнами. Туннель здесь принадлежит одному профилю, а соседний профиль в ту же минуту держит свой выход.
Купленный адрес SOCKS5
Браузер видит ту же самую вещь, и запись в библиотеке выглядит похоже. Разница в том, что машина на том конце ваша, а её адрес не делится с посторонними покупателями.
Проброс одного порта
Такой проброс ведёт к одной службе на одном порту и для работы браузера бесполезен. Нужна динамическая переадресация: именно она и открывает на петле вход SOCKS5.
Tor
Tor ведёт через добровольные узлы и публикует адреса своих последних ходов, поэтому площадки их узнают. Здесь ход один и он ваш.
Чего это не делает
- Это не даёт вам сервер. Берётся машина, доступ к которой у вас уже есть, и её адрес ровно настолько хорош, насколько хороша её сеть: арендованная машина и по реестрам числится машиной.
- Это не меняет того, что сообщает браузер про машину. Переезжает только выход, а за ним часы и список языков той страны, из которой сервер отвечает.
- Это не увозит ваш ключ на другой компьютер. Путь читается на этой машине, и на второй вы указываете ключ заново.
- Это не принимает пароль в Windows. Там дорога одна, через файл ключа.
Проверить
Каждое утверждение выше это место в коде и стенд.
- Как туннель поднимается и с какими доводами
- apps/desktop/src/lib/sshTunnel.js
- Пароля нет в доводах, а обрыв лечится тремя попытками
- apps/desktop/test/выход-по-ssh.js
- Ответчик и канал пишутся только для хозяина
- apps/desktop/test/secrets-on-disk.js
- Замок, не пускающий профиль наружу мимо его выхода
- apps/desktop/src/main/main.js
Вопросы
- Действует ли моя личная настройка ssh?
- Нет. У туннеля свой файл известных узлов внутри данных программы, а вашу личную настройку он не трогает: вписанный туда промежуточный узел увёл бы профиль туда, куда вы его не отправляли.
- Допишут ли мой личный файл известных узлов?
- Нет. Этим файлом вы входите на работу, и править его мы не вправе, поэтому у туннеля свой.
- Что будет, когда мой сервер перезагрузится?
- Пока сервера нет, страницы не грузятся, и это правильный исход. Туннель пробуют поднять заново на том же порту, потому что открытое окно про новый порт не узнает. Как только сервер ответит, свежий запуск поднимет свежий туннель.
- Оставляет ли кнопка проверки открытое подключение?
- Нет. Проверка поднимает настоящий туннель, меряет через него и снимает его, как только пришёл ответ, поэтому нажатие кнопки не оставляет связи с вашим сервером.
Сделайте выходом сервер, за который уже платите
Бесплатный тариф даёт два профиля, без срока и без карты.