PermitOpen правярае назву прызначэння, якую падае кліент SOCKS

Суперастаўляйце абмежаванае прызначэнне SSH SOCKS па запытаных імені хоста і порце, замест таго каб лічыць DNS-псеўданімы і лікавыя адрасы роўнымі.

Існуючы ўліковы запіс перанакіравання SSH можа абмяжоўваць пары прызначэнняў, якія выкарыстоўваюць яго кліенты SOCKS. Фрагмент на баку сервера можа дазволіць адну названую службу:

Match User proxyuser
    PermitOpen api.example.net:443

Аб’яднайце гэта з існуючай палітыкай аўтэнтыфікацыі і перанакіравання ўліковага запісу. PermitOpen сам не дае дазволу на перанакіраванне і не адключае доступ да shell.

OpenSSH параўноўвае пададзеныя назвы прызначэнняў, не выконваючы для гэтага пошуку адрасоў. За выключэннем задокументаваных формаў wildcard, значэнне не з’яўляецца агульным шаблонам імені хоста.

Гэта важна для SOCKS5. Кліент, які дасылае api.example.net з портам 443, можа супасці з гэтай парай. Кліент, які развязае тое ж імя лакальна і дасылае лікавы IP, падаў іншы радок прызначэння. Псеўданім, які вядзе на той жа адрас, таксама іншы.

Трымайце лакальны або проксі-рэжым развязання кліента ўзгодненым з меркаваным правілам. Наступнае развязанне дазволенага імені хоста ўсё яшчэ вызначае, куды падключаецца сервер; гэта налада не з’яўляецца DNS-усвядомленай забаронай для кожнага прыватнага адраса.

Прагледзьце абмежаванні для канкрэтных ключоў і іншыя датычныя налады сервера разам з гэтым, бо любая дадатковая забарона перанакіравання можа ўсё яшчэ адхіліць запыт.

Падобныя артыкулы