Ваш пароль SSH — гэта не пароль SOCKS
Адрознівайце ўваход па SSH ад аўтэнтыфікацыі кліента SOCKS на дынамічным слухачы OpenSSH.
Вы ўвялі пароль, каб запусціць ssh -D. Ён аўтэнтыфікаваў ваша злучэнне SSH. Але ён не стварыў абаронены паролем уліковы запіс SOCKS для кожнай праграмы, якая можа дасягнуць новага слухача.
Дынамічная перадача OpenSSH прадастаўляе лакальную службу SOCKS праз аўтэнтыфікаваны транспарт SSH. Яе апрацоўка SOCKS5 выбірае метад без аўтэнтыфікацыі; гэта не агульны сервер SOCKS з імем карыстальніка і паролем.
Для асабістага выкарыстання прывяжыце лакальна:
ssh -N -D 127.0.0.1:1080 [email protected]Праграмы на тым камп'ютары выкарыстоўваюць порт 1080, не ўводзячы ваш пароль SSH як пароль SOCKS. Дакументацыя па дынамічнай перадачы апісвае слухача, а зыходны код апрацоўкі SOCKS у OpenSSH дае падрабязнасці аўтэнтыфікацыі.
Сумеснае выкарыстанне мяняе праблему
Прывязка да адраса LAN робіць порт даступным за межамі першапачатковага лакальнага выкарыстання. Блізкія кліенты не ўстанаўліваюць асобныя сеансы SSH толькі таму, што іх трафік ідзе праз ваш. Калі сетка дазваляе доступ, гэтыя кліенты могуць дзяліць знешнюю ідэнтычнасць вашага шлюза.
Брандмаўэр можа абмежаваць даступных кліентаў, але не дадае абмену ўваходам SOCKS. Для асобных імён карыстальнікаў SOCKS, квот або правілаў для кожнага карыстальніка выбірайце сервер, які падтрымлівае гэтыя функцыі. Напрыклад, Dante дакументуе аўтэнтыфікацыю SOCKS асобна ад абмежаванняў адрасоў кліентаў.
Гэта таксама дапамагае пры пошуку непаладак. Кліент, які настойвае на метадзе імя карыстальніка і пароля SOCKS, можа не дамовіцца з гэтым слухачом так, як вы чакаеце. Наладзьце праграму або выберыце адпаведную аўтэнтыфікаваную службу SOCKS; паўторныя спробы вашага пароля SSH звяртаюцца да няправільнага ўваходу.
Даступнасць толькі лакальна — гэта ўсё яшчэ мяжа, якую трэба разумець, а не сцвярджэнне, што кожны працэс на лакальным камп'ютары належыць аднаму карыстальніку.