Gall cyfrif dirprwy SSH weithio heb gragen

Cadwch anfon SSH ar gael wrth analluogi sesiynau cragen a deall terfynau gorfodi SOCKS yn unig.

Y gosodiad demtiol yw AllowTcpForwarding no. Yn anffodus, mae hefyd yn analluogi'r anfon y mae dirprwy SSH SOCKS lleol ei angen. Nid yw anfon dynamig yn fwlch o amgylch polisi'r gweinydd.

Ar gyfer cyfrif pwrpasol, mae OpenSSH yn gwahanu sawl gallu. Gall darn o bolisi ganiatáu anfon lleol tra'n atal sesiynau cragen ac is-system:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Mae llawlyfr y gweinydd yn disgrifio MaxSessions 0 fel un sy'n atal sesiynau cragen, mewngofnodi ac is-system tra'n caniatáu anfon. Integreiddiwch hyn mewn cyfrif dilysedig sy'n bodoli eisoes; nid yw'n gyfluniad diogelwch SSH cyflawn.

Anfon yn unig nid yw SOCKS yn unig

Gall anfon lleol sefydlog a chais SOCKS yn y pen draw ofyn i'r gweinydd am yr un math o gysylltiad cyrchfan. Nid yw caniatáu anfon lleol yn gwarantu bod cleient wedi defnyddio rhyngwyneb SOCKS penodol. Peidiwch â disgrifio'r cyfrif fel un sy'n gorfodi defnydd SOCKS yn unig.

Gall PermitOpen gyfyngu parau gwesteiwr a phorth cyrchfan pan fo rhestr benodol yn addas. Nid yw'n waharddiad cyffredinol sy'n ymwybodol o ddatrys enwau ar bob rhwydwaith preifat. Efallai y bydd angen polisi rhwydwaith gwesteiwr priodol ar gyfer cyfyngiadau cyfeiriad ehangach.

Gall gosodiadau cyfrif, allwedd a gweinydd sydd wedi'u cynnwys gyfyngu anfon ymhellach. Gall gwaharddiad anfon cyffredinol mewn man arall ddileu gallu y mae'r darn hwn yn ymddangos yn ei ganiatáu.

Defnyddiwch y weithdrefn weinyddu gweinydd arferol gyda llwybr adfer, yna aseswch alluoedd a ganiateir ac a wrthodir ar wahân. Y canlyniad arfaethedig yw caniatâd anfon penodol, nid mewngofnodi rhyngweithiol a adawyd ar gael ar ddamwain na dirprwy a analluwyd gan ei gyfyngiad ei hun.

Erthyglau cysylltiedig