PermitOpen kontrolas la celan nomon, kiun liveras la SOCKS-kliento

Adaptu limigitan SSH SOCKS-celon laŭ la petitaj gastiga nomo kaj pordo, anstataŭ supozi, ke DNS-kaŝnomoj kaj numeraj adresoj estas egalaj.

Ekzistanta SSH-plusenda konto povas limigi la celajn parojn, kiujn uzas ĝiaj SOCKS-klientoj. Servflanka fragmento povas permesi unu nomitan servon:

Match User proxyuser
    PermitOpen api.example.net:443

Integru tion kun la ekzistanta aŭtentikiga kaj plusenda politiko de la konto. PermitOpen mem ne donas plusendan permeson nek malŝaltas ŝelaliron.

OpenSSH komparas la liveritajn celajn nomojn sen fari adresajn serĉojn por tiu komparo. Krom ĝiaj dokumentitaj wildcard-formoj, la valoro ne estas ĝenerala gastignoma ŝablono.

Tio gravas por SOCKS5. Kliento, kiu sendas api.example.net kun pordo 443, povas kongrui kun tiu paro. Kliento, kiu solvas la saman nomon loke kaj sendas numeran IP, liveris alian celan signoĉenon. Kaŝnomo solvanta al la sama adreso ankaŭ estas alia.

Konservu la lokan kontraŭ prokuran solvadan reĝimon de la kliento kongrua kun la celata regulo. La posta solvo de la permesita gastiga nomo ankoraŭ determinas, kien la servilo konektiĝas; ĉi tiu agordo ne estas DNS-konscia malpermeso de ĉiu privata adreso.

Reviziu ŝlosilajn limigojn kaj aliajn aplikeblajn servilajn agordojn apude, ĉar iu ajn plua plusenda malpermeso ankoraŭ povas rifuzi la peton.

Rilataj artikoloj