Αφήστε το SSH να χρησιμοποιεί τοπικό SOCKS listener όταν είναι διαθέσιμο

Περιορίστε τον έλεγχο Match exec του OpenSSH σε έναν προορισμό και κατανοήστε τι αποδεικνύει και τι όχι ένας επιτυχής έλεγχος τοπικής θύρας.

Ένας τοπικός SOCKS listener είναι χρήσιμος σε ορισμένα δίκτυα και απουσιάζει σε άλλα. Το OpenSSH μπορεί να επιλέγει εντολή proxy υπό συνθήκη, χωρίς η επιλογή αυτή να ισχύει για κάθε host.

Για το OpenSSH με τη μορφή OpenBSD του nc, μια ενδεικτική διαμόρφωση πελάτη είναι:

Host work-server
    HostName ssh.example.net
    User alex

Match originalhost work-server exec "nc -z -w 1 127.0.0.1 1080"
    ProxyCommand nc -X 5 -x 127.0.0.1:1080 %h %p

Match all

Το originalhost περιορίζει τον έλεγχο στο όνομα που δίνεται στη γραμμή εντολών SSH. Το exec ταιριάζει όταν η εντολή του τερματίζεται επιτυχώς. Το τελικό Match all τερματίζει αυτό το υπό συνθήκη πεδίο για τις επόμενες ρυθμίσεις.

Αυτό προϋποθέτει ότι καμία προηγούμενη εφαρμοστέα ρύθμιση δεν έχει ήδη επιλέξει αντιφατική εντολή proxy ή διαδρομή άλματος. Το SSH συνήθως χρησιμοποιεί την πρώτη τιμή που λαμβάνει για μια επιλογή, οπότε μια ευρεία προεπιλογή στην κορυφή μπορεί να εμποδίσει μια μεταγενέστερη συνθήκη να έχει το αναμενόμενο αποτέλεσμα.

Ένα socket που ακούει είναι μια μετριοπαθής υπόσχεση

Ο έλεγχος δοκιμάζει την πρόσβαση TCP σε τοπική θύρα. Δεν ολοκληρώνει τη διαπραγμάτευση SOCKS, δεν εγκαθιστά την επιθυμητή σύνδεση προορισμού και δεν αποδεικνύει ποιο πρόγραμμα κατέχει τη θύρα. Ο listener μπορεί επίσης να εξαφανιστεί μετά τον έλεγχο.

Το χρονικό όριο κρατά έναν αποτυχημένο έλεγχο περιορισμένο. Οι επιλογές που φαίνονται ανήκουν στη διεπαφή nc του OpenBSD· άλλα προγράμματα με το ίδιο όνομα αρχείου μπορούν να εκθέτουν διαφορετικές επιλογές.

Όταν η συνθήκη δεν ταιριάζει, το παράδειγμα αφήνει τη σύνδεση χωρίς αυτό το ProxyCommand, επιτρέποντας την κανονική της διαδρομή. Αυτό είναι κατάλληλο μόνο όταν επιτρέπεται η άμεση πρόσβαση. Μια υποχρεωτική πολιτική proxy δεν πρέπει να χρησιμοποιεί έλεγχο διαθεσιμότητας ως άδεια διαφυγής σε άλλη διαδρομή.

Το όνομα host SSH προορισμού και οι έλεγχοι κλειδιού host εξακολουθούν να ταυτοποιούν τον διακομιστή προορισμού. Η επιλογή βοηθού μεταφοράς δεν είναι λόγος να δεχτείτε ένα απρόσμενο κλειδί host.

Σχετικά άρθρα