PermitOpen prüft den Zielnamen, den der SOCKS-Client angibt
Ordnen Sie ein eingeschränktes SSH-SOCKS-Ziel dem angeforderten Hostnamen und Port zu, statt anzunehmen, DNS-Aliase und numerische Adressen seien gleichwertig.
Ein bestehendes SSH-Weiterleitungskonto kann die Zielpaare einschränken, die seine SOCKS-Clients verwenden. Ein serverseitiges Fragment kann einen benannten Dienst zulassen:
Match User proxyuser
PermitOpen api.example.net:443Binden Sie dies in die bestehende Authentifizierungs- und Weiterleitungsrichtlinie des Kontos ein. PermitOpen erteilt selbst keine Weiterleitungserlaubnis und deaktiviert keinen Shell-Zugriff.
OpenSSH vergleicht die übergebenen Zielnamen, ohne für diesen Vergleich Adressabfragen durchzuführen. Außer bei den dokumentierten Wildcard-Formen ist der Wert kein allgemeines Hostnamen-Muster.
Das ist für SOCKS5 wichtig. Ein Client, der api.example.net mit Port 443 sendet, kann auf dieses Paar passen. Ein Client, der denselben Namen lokal auflöst und eine numerische IP sendet, hat eine andere Zielzeichenfolge übergeben. Ein Alias, der auf dieselbe Adresse verweist, ist ebenfalls anders.
Halten Sie den Modus für lokale oder Proxy-Auflösung des Clients mit der beabsichtigten Regel konsistent. Die anschließende Auflösung des erlaubten Hostnamens bestimmt weiterhin, wohin der Server verbindet; diese Einstellung ist kein DNS-bewusstes Verbot jeder privaten Adresse.
Prüfen Sie schlüsselspezifische Einschränkungen und andere anwendbare Servereinstellungen daneben, denn jedes weitere Weiterleitungsverbot kann die Anfrage trotzdem ablehnen.