PermitOpen kontroluje název cíle, který dodává klient SOCKS

Sladťte omezený cíl SSH SOCKS podle požadovaného názvu hostitele a portu, místo abyste předpokládali, že aliasy DNS a číselné adresy jsou rovnocenné.

Existující účet pro přesměrování SSH může omezit dvojice cílů, které používají jeho klienti SOCKS. Fragment na straně serveru může povolit jednu pojmenovanou službu:

Match User proxyuser
    PermitOpen api.example.net:443

Začleňte to do stávající politiky ověřování a přesměrování účtu. PermitOpen sám o sobě neuděluje povolení přesměrování ani nevypíná přístup k shellu.

OpenSSH porovnává dodané názvy cílů, aniž by pro toto porovnání prováděl vyhledávání adres. Kromě dokumentovaných forem wildcard není hodnota obecným vzorem názvu hostitele.

To je důležité pro SOCKS5. Klient, který odešle api.example.net s portem 443, může této dvojici odpovídat. Klient, který stejný název přeloží lokálně a odešle číselnou IP, dodal jiný řetězec cíle. Alias, který se překládá na stejnou adresu, je také jiný.

Udržujte režim místního a proxy překladu klienta v souladu se zamýšleným pravidlem. Následný překlad povoleného názvu hostitele stále určuje, kam se server připojí; toto nastavení není zákazem každé soukromé adresy s ohledem na DNS.

Projděte spolu s tím omezení pro konkrétní klíče a další platná nastavení serveru, protože jakýkoli další zákaz přesměrování může požadavek stále odmítnout.

Související články