Дазволіць SSH выкарыстоўваць лакальны SOCKS-слухач, калі ён даступны

Абмежаваць праверку OpenSSH Match exec адной мэтай і зразумець, што паспяховая праверка лакальнага порта даказвае, а што не.

Лакальны SOCKS-слухач карысны ў адных сетках і адсутнічае ў іншых. OpenSSH можа выбіраць проксі-каманду ўмоўна, не робячы гэты выбар абавязковым для ўсіх хастоў.

Для OpenSSH з формай nc ад OpenBSD прыклад кліенцкай канфігурацыі:

Host work-server
    HostName ssh.example.net
    User alex

Match originalhost work-server exec "nc -z -w 1 127.0.0.1 1080"
    ProxyCommand nc -X 5 -x 127.0.0.1:1080 %h %p

Match all

originalhost абмяжоўвае праверку імем, указаным у камандным радку SSH. exec супадае, калі яго каманда завяршаецца паспяхова. Апошні Match all завяршае гэтую ўмоўную вобласць для наступных налад.

Гэта мяркуе, што ніводная ранейшая дзеючая налада ўжо не выбрала канфліктную проксі-каманду або маршрут пераходу. SSH звычайна выкарыстоўвае першае атрыманае значэнне параметра, таму шырокае значэнне па змаўчанні зверху можа перашкодзіць позняй умове дасягнуць чаканага эфекту.

Слухаючы сокет — гэта сціплая абяцанка

Праверка кантралюе доступ па TCP да лакальнага порта. Яна не завяршае перамовы SOCKS, не ўсталёўвае патрэбнае злучэнне з мэтай і не даказвае, якая праграма валодае гэтым портам. Слухач таксама можа знікнуць пасля праверкі.

Тайм-аўт абмяжоўвае няўдалую праверку. Паказаныя параметры належаць інтэрфейсу nc у OpenBSD; іншыя праграмы з такім імем файла могуць прапаноўваць іншыя параметры.

Калі ўмова не супадае, гэты прыклад пакідае злучэнне без гэтай ProxyCommand, дазваляючы звычайны маршрут. Гэта мэтазгодна толькі тады, калі прамы доступ дазволены. Абавязковая палітыка проксі не павінна выкарыстоўваць праверку даступнасці як дазвол уцячы на іншы маршрут.

Мэтавае імя хоста SSH і праверкі ключоў хоста па-ранейшаму вызначаюць сервер прызначэння. Выбар дапаможніка транспарту не з'яўляецца прычынай прымаць нечаканы ключ хоста.

Падобныя артыкулы