Mae PermitOpen yn gwirio enw'r gyrchfan a roddir gan gleient SOCKS

Gall cyfrif blaenfforio SSH presennol gyfyngu'r parau cyrchfan a ddefnyddir gan ei gleientiaid SOCKS. Gall darn ar ochr y gweinydd ganiatáu un gwasanaeth enwebedig:

Match User proxyuser
    PermitOpen api.example.net:443

Integreiddiwch hyn â pholisi dilysu a blaenfforio presennol y cyfrif. Nid yw PermitOpen ei hun yn rhoi caniatâd blaenfforio nac yn analluogi mynediad shell.

Mae OpenSSH yn cymharu'r enwau cyrchfan a roddir heb wneud chwiliadau cyfeiriad ar gyfer y gymhariaeth honno. Ac eithrio ei ffurfiau wildcard dogfennedig, nid yw'r gwerth yn batrwm enw gwesteiwr cyffredinol.

Mae hyn yn bwysig i SOCKS5. Gall cleient sy'n anfon api.example.net gyda phorth 443 gyfateb i'r pâr hwnnw. Mae cleient sy'n datrys yr un enw'n lleol ac yn anfon IP rhifol wedi rhoi llinyn cyrchfan gwahanol. Mae alias sy'n datrys i'r un cyfeiriad hefyd yn wahanol.

Cadwch fodd datrys lleol yn erbyn dirprwy y cleient yn gyson â'r rheol a fwriedir. Mae datrysiad dilynol yr enw gwesteiwr a ganiateir yn dal i bennu lle mae'r gweinydd yn cysylltu; nid yw'r gosodiad hwn yn waharddiad sy'n ymwybodol o DNS ar bob cyfeiriad preifat.

Adolygwch gyfyngiadau sy'n benodol i allweddi a gosodiadau gweinydd perthnasol eraill ochr yn ochr, oherwydd gall unrhyw waharddiad blaenfforio pellach wrthod y cais o hyd.