Ένας λογαριασμός διαμεσολαβητή SSH μπορεί να λειτουργεί χωρίς κέλυφος

Κρατήστε τη προώθηση SSH διαθέσιμη απενεργοποιώντας τις συνεδρίες κελύφους και κατανοήστε τα όρια της επιβολής μόνο SOCKS.

Η δελεαστική ρύθμιση είναι AllowTcpForwarding no. Δυστυχώς, απενεργοποιεί επίσης την προώθηση που χρειάζεται ένας τοπικός διαμεσολαβητής SSH SOCKS. Η δυναμική προώθηση δεν είναι παραθυράκι γύρω από την πολιτική του διακομιστή.

Για αποκλειστικό λογαριασμό, το OpenSSH διαχωρίζει αρκετές δυνατότητες. Ένα απόσπασμα πολιτικής μπορεί να επιτρέπει τοπική προώθηση ενώ εμποδίζει συνεδρίες κελύφους και υποσυστημάτων:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Το εγχειρίδιο του διακομιστή περιγράφει το MaxSessions 0 ως ρύθμιση που εμποδίζει συνεδρίες κελύφους, σύνδεσης και υποσυστημάτων επιτρέποντας την προώθηση. Ενσωματώστε το σε υπάρχοντα πιστοποιημένο λογαριασμό· δεν είναι πλήρης διαμόρφωση ασφαλείας SSH.

Μόνο προώθηση δεν σημαίνει μόνο SOCKS

Μια σταθερή τοπική προώθηση και ένα αίτημα SOCKS μπορούν τελικά να ζητήσουν από τον διακομιστή τον ίδιο τύπο σύνδεσης προορισμού. Η άδεια τοπικής προώθησης δεν εγγυάται ότι ένας πελάτης χρησιμοποίησε συγκεκριμένη διεπαφή SOCKS. Μην περιγράφετε τον λογαριασμό ως επιβολή χρήσης μόνο SOCKS.

Το PermitOpen μπορεί να περιορίσει ζεύγη κεντρικού υπολογιστή και θύρας προορισμού όταν μια συγκεκριμένη λίστα ταιριάζει με την απαίτηση. Δεν είναι γενική απαγόρευση που λαμβάνει υπόψη την επίλυση ονομάτων για κάθε ιδιωτικό δίκτυο. Ευρύτεροι περιορισμοί διευθύνσεων μπορεί να απαιτούν κατάλληλη πολιτική δικτύου υπολογιστή.

Ρυθμίσεις λογαριασμού, κλειδιού και διακομιστή που περιλαμβάνονται μπορούν να περιορίσουν περαιτέρω την προώθηση. Μια γενική απαγόρευση προώθησης αλλού μπορεί να αφαιρέσει δυνατότητα που αυτό το απόσπασμα φαίνεται να επιτρέπει.

Χρησιμοποιήστε τη συνήθη διαδικασία διαχείρισης διακομιστή με διαδρομή ανάκτησης και έπειτα αξιολογήστε ξεχωριστά τις επιτρεπόμενες και τις απαγορευμένες δυνατότητες. Το επιδιωκόμενο αποτέλεσμα είναι ρητές άδειες προώθησης, όχι μια διαδραστική σύνδεση που έμεινε κατά λάθος διαθέσιμη ή ένας διαμεσολαβητής που απενεργοποιήθηκε από τον δικό του περιορισμό.

Σχετικά άρθρα