Laat SSH 'n plaaslike SOCKS-luisteraar gebruik wanneer dit beskikbaar is

Beperk 'n OpenSSH Match exec-toets tot een bestemming en verstaan wat 'n suksesvolle plaaslike-poorttoets wel en nie vasstel nie.

'n Plaaslike SOCKS-luisteraar is op sommige netwerke nuttig en op ander afwesig. OpenSSH kan 'n proxy-opdrag voorwaardelik kies, sonder om daardie keuse op elke gasheer toe te pas.

Vir OpenSSH met die OpenBSD-vorm van nc is 'n illustratiewe kliëntkonfigurasie:

Host work-server
    HostName ssh.example.net
    User alex

Match originalhost work-server exec "nc -z -w 1 127.0.0.1 1080"
    ProxyCommand nc -X 5 -x 127.0.0.1:1080 %h %p

Match all

originalhost beperk die toets tot die naam wat op die SSH-opdragreël gegee word. exec pas wanneer sy opdrag suksesvol eindig. Die finale Match all beëindig daardie voorwaardelike omvang vir volgende instellings.

Dit veronderstel dat geen vroeër toepaslike instelling reeds 'n botsende proxy-opdrag of sprongroete gekies het nie. SSH gebruik gewoonlik die eerste verkrege waarde vir 'n konfigurasie-opsie, so 'n breë verstek naby die bokant kan verhoed dat 'n latere voorwaarde die uitwerking het wat jy verwag.

'n Luisterende sokkie is 'n beskeie belofte

Die toets kontroleer TCP-toegang tot 'n plaaslike poort. Dit voltooi nie SOCKS-onderhandeling nie, maak nie die verlangde bestemmingsverbinding nie, en bewys nie watter program daardie poort besit nie. Die luisteraar kan ook ná die toets verdwyn.

Die tydsbeperking hou 'n mislukte toets begrens. Die opsies wat gewys word, behoort aan die OpenBSD nc-koppelvlak; ander programme met daardie lêernaam kan ander opsies bied.

Wanneer die voorwaarde nie pas nie, laat hierdie voorbeeld die verbinding sonder hierdie ProxyCommand, wat sy gewone roete toelaat. Dit is slegs gepas wanneer direkte toegang toegelaat word. 'n Verpligte proxybeleid moet nie 'n beskikbaarheidstoets as toestemming gebruik om na 'n ander roete te ontsnap nie.

Die teiken-SSH-gasheernaam en gasheersleutelkontroles identifiseer steeds die bestemmingsbediener. Die keuse van 'n vervoerhulp is nie 'n rede om 'n onverwagte gasheersleutel te aanvaar nie.

Verwante artikels