SSH proxy račun može raditi bez školjke

Zadržite SSH prosljeđivanje dostupnim uz isključene sesije školjke i razumite granice prisile samo na SOCKS.

Primamljiva postavka je AllowTcpForwarding no. Nažalost, ona isključuje i prosljeđivanje koje lokalni SSH SOCKS proxy treba. Dinamičko prosljeđivanje nije rupa oko serverske politike.

Za namjenski račun OpenSSH razdvaja nekoliko mogućnosti. Fragment politike može dopustiti lokalno prosljeđivanje dok sprječava sesije školjke i podsustava:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Priručnik servera opisuje MaxSessions 0 kao postavku koja sprječava sesije školjke, prijave i podsustava uz dopušteno prosljeđivanje. Ugradite je u postojeći autentificirani račun; to nije potpuna SSH sigurnosna konfiguracija.

Samo prosljeđivanje nije samo SOCKS

Fiksno lokalno prosljeđivanje i SOCKS zahtjev na kraju mogu od servera tražiti istu vrstu veze prema odredištu. Dopuštanje lokalnog prosljeđivanja ne jamči da je klijent koristio određeno SOCKS sučelje. Ne opisujte račun kao da nameće upotrebu samo SOCKS-a.

PermitOpen može ograničiti parove hosta i porta odredišta kada određeni popis odgovara zahtjevu. To nije opća zabrana svake privatne mreže koja uzima u obzir razrješavanje imena hosta. Šira ograničenja adresa mogu zahtijevati odgovarajuću mrežnu politiku hosta.

Postavke računa, ključa i uključene postavke servera mogu dodatno ograničiti prosljeđivanje. Sveobuhvatna zabrana prosljeđivanja drugdje može ukloniti mogućnost koju ovaj fragment naizgled dopušta.

Upotrijebite uobičajeni postupak administracije servera s putem za oporavak, zatim odvojeno procijenite dopuštene i zabranjene mogućnosti. Namjeravani ishod su izričita dopuštenja prosljeđivanja, a ne interaktivna prijava slučajno ostavljena dostupnom ni proxy onemogućen vlastitim ograničenjem.

Povezani članci