SSH-prokura konto povas funkcii sen ŝelo
Konservu SSH-plusendadon disponebla dum vi malŝaltas ŝelajn sesiojn kaj komprenu la limojn de trudado de nur-SOCKS.
La alloga agordo estas AllowTcpForwarding no. Bedaŭrinde ĝi ankaŭ malŝaltas la plusendadon, kiun loka SSH SOCKS-prokuro bezonas. Dinamika plusendado ne estas breĉo ĉirkaŭ la servila politiko.
Por dediĉita konto, OpenSSH apartigas plurajn kapablojn. Politika fragmento povas permesi lokan plusendadon dum ĝi malhelpas ŝelajn kaj subsistemajn sesiojn:
Match User proxyuser
AllowTcpForwarding local
MaxSessions 0
PermitTTY no
X11Forwarding no
AllowAgentForwarding noLa servila manlibro priskribas MaxSessions 0 kiel agordon, kiu malhelpas ŝelajn, ensalutajn kaj subsistemajn sesiojn dum ĝi permesas plusendadon. Integru ĝin en ekzistantan aŭtentigitan konton; ĝi ne estas kompleta SSH-sekureca agordo.
Nur plusendado ne estas nur SOCKS
Fiksa loka plusendado kaj SOCKS-peto povas finfine peti de la servilo la saman specon de celkonekto. Permesi lokan plusendadon ne garantias, ke kliento uzis apartan SOCKS-interfacon. Ne priskribu la konton kiel trudanta nur-SOCKS-uzon.
PermitOpen povas limigi celajn gastigantajn kaj pordajn parojn, kiam aparta listo taŭgas por la postulo. Ĝi ne estas ĝenerala malpermeso konscia pri gastigantnoma solvado por ĉiu privata reto. Pli larĝaj adreslimigoj povas bezoni taŭgan gastigantan retpolitikon.
Kontaj, ŝlosilaj kaj inkluzivitaj servilaj agordoj povas pli limigi plusendadon. Ĝenerala plusendada malpermeso aliloke povas forigi kapablon, kiun ĉi tiu fragmento ŝajne permesas.
Uzu la kutiman servilan administradproceduron kun restaŭra vojo, poste taksu permesitajn kaj malpermesitajn kapablojn aparte. La celata rezulto estas eksplicitaj plusendadaj permesoj, ne interaga ensaluto hazarde lasita disponebla aŭ prokuro malŝaltita de sia propra limigo.