PermitOpen comprova el nom de destinació que proporciona el client SOCKS
Feu coincidir una destinació SSH SOCKS restringida pel nom d'amfitrió i el port sol·licitats, en lloc de suposar que els àlies DNS i les adreces numèriques són equivalents.
Un compte de reenviament SSH existent pot restringir les parelles de destinació que utilitzen els seus clients SOCKS. Un fragment del costat del servidor pot permetre un servei amb nom:
Match User proxyuser
PermitOpen api.example.net:443Integreu-ho amb la política d'autenticació i de reenviament existent del compte. PermitOpen no concedeix per si mateix permís de reenviament ni desactiva l'accés a la shell.
OpenSSH compara els noms de destinació proporcionats sense fer cerques d'adreces per a aquesta comparació. Tret de les formes wildcard documentades, el valor no és un patró general de nom d'amfitrió.
Això és important per a SOCKS5. Un client que envia api.example.net amb el port 443 pot coincidir amb aquesta parella. Un client que resol el mateix nom localment i envia una IP numèrica ha proporcionat una cadena de destinació diferent. Un àlies que resol a la mateixa adreça també és diferent.
Mantingueu el mode de resolució local o mitjançant proxy del client coherent amb la regla prevista. La resolució posterior del nom d'amfitrió permès encara determina on es connecta el servidor; aquest paràmetre no és una prohibició conscient de DNS per a cada adreça privada.
Reviseu les restriccions específiques de cada clau i altres paràmetres del servidor aplicables al costat, perquè qualsevol prohibició addicional de reenviament encara pot rebutjar la sol·licitud.