PermitOpen kontroleer die bestemming se naam wat die SOCKS-kliënt verskaf
Pas 'n beperkte SSH SOCKS-bestemming op sy versoekte gasheernaam en poort, eerder as om aan te neem dat DNS-aliase en numeriese adresse gelyk is.
'n Bestaande SSH-aanstuur-rekening kan die bestemmingspare wat sy SOCKS-kliënte gebruik, beperk. 'n Bedienerkant-fragment kan een benoemde diens toelaat:
Match User proxyuser
PermitOpen api.example.net:443Integreer dit met die rekening se bestaande verifikasie- en aanstuurbeleid. PermitOpen verleen nie self aanstuurtoestemming nie en skakel nie shell-toegang af nie.
OpenSSH vergelyk die verskafde bestemmingsname sonder om adresopsoektings vir daardie vergelyking te doen. Buiten sy gedokumenteerde wildcard-vorms is die waarde nie 'n algemene gasheernaam-patroon nie.
Dit is belangrik vir SOCKS5. 'n Kliënt wat api.example.net met poort 443 stuur, kan daardie paar pas. 'n Kliënt wat dieselfde naam plaaslik opsoek en 'n numeriese IP stuur, het 'n ander bestemmingsstring verskaf. 'n Alias wat na dieselfde adres wys, is ook anders.
Hou die kliënt se plaaslike-versus-volmag-resolusiemodus in lyn met die beoogde reël. Die toegelate gasheernaam se latere opsoeking bepaal steeds waar die bediener verbind; hierdie instelling is nie 'n DNS-bewuste verbod op elke private adres nie.
Hersien sleutelspesifieke beperkings en ander toepaslike bedienerinstellings saam daarmee, want enige verdere aanstuurverbod kan die versoek steeds verwerp.