Účet SSH proxy může fungovat bez shellu

Zachovejte přesměrování SSH dostupné, vypněte relace shellu a pochopte limity vynucení pouze SOCKS.

Lákavé nastavení je AllowTcpForwarding no. Bohužel vypíná i přesměrování, které místní SSH SOCKS proxy potřebuje. Dynamické přesměrování není zadní vrátka kolem zásad serveru.

Pro vyhrazený účet OpenSSH odděluje několik schopností. Fragment zásad může povolit místní přesměrování a zároveň blokovat relace shellu a subsystémů:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Příručka serveru popisuje MaxSessions 0 jako nastavení, které blokuje relace shellu, přihlášení a subsystémů a přitom povoluje přesměrování. Začleňte je do stávajícího ověřeného účtu; není to kompletní bezpečnostní konfigurace SSH.

Pouze přesměrování není pouze SOCKS

Pevné místní přesměrování a požadavek SOCKS mohou nakonec požádat server o stejný druh cílového spojení. Povolení místního přesměrování nezaručuje, že klient použil konkrétní rozhraní SOCKS. Nepopisujte účet jako vynucující použití pouze SOCKS.

PermitOpen může omezit dvojice cílového hostitele a portu, když konkrétní seznam odpovídá požadavku. Nejde o obecný zákaz zohledňující překlad názvů hostitelů pro každou privátní síť. Širší omezení adres může vyžadovat vhodnou síťovou zásadu hostitele.

Nastavení účtu, klíče a zahrnutá nastavení serveru mohou přesměrování dále omezit. Plošný zákaz přesměrování jinde může odebrat schopnost, kterou tento fragment zjevně povoluje.

Použijte obvyklý postup správy serveru s cestou pro obnovení a poté posuďte povolené a zakázané schopnosti odděleně. Zamýšleným výsledkem jsou výslovná oprávnění k přesměrování, nikoli interaktivní přihlášení omylem ponechané dostupné nebo proxy vypnutá vlastním omezením.

Související články