PermitOpen проверява името на дестинацията, което предоставя SOCKS клиентът

Съпоставете ограничена SSH SOCKS дестинация по поисканото име на хост и порт, вместо да приемате, че DNS псевдонимите и числовите адреси са еквивалентни.

Съществуващ акаунт за SSH препращане може да ограничава двойките дестинации, които използват неговите SOCKS клиенти. Фрагмент от страна на сървъра може да разреши една именувана услуга:

Match User proxyuser
    PermitOpen api.example.net:443

Съчетайте това със съществуващата политика за удостоверяване и препращане на акаунта. PermitOpen сам по себе си не дава разрешение за препращане и не изключва достъпа до shell.

OpenSSH сравнява предоставените имена на дестинации, без да извършва търсене на адреси за това сравнение. С изключение на документираните форми с wildcard, стойността не е общ шаблон за име на хост.

Това е важно за SOCKS5. Клиент, който изпраща api.example.net с порт 443, може да съвпадне с тази двойка. Клиент, който разрешава същото име локално и изпраща числов IP, е предоставил различен низ за дестинация. Псевдоним, който сочи към същия адрес, също е различен.

Поддържайте режима на локално или прокси разрешаване на клиента в съответствие с предвиденото правило. Последващото разрешаване на разрешеното име на хост все още определя къде се свързва сървърът; тази настройка не е съобразена с DNS забрана за всеки частен адрес.

Прегледайте ограниченията за конкретни ключове и другите приложими настройки на сървъра заедно с това, защото всяка допълнителна забрана за препращане може да отхвърли заявката.

Подобни статии