SSH-puhverserveri konto saab töötada ilma kestata

Hoidke SSH-edastamine saadaval, lülitage välja kesta seansid ja mõistke ainult SOCKS-i jõustamise piire.

Ahvatlev seade on AllowTcpForwarding no. Kahjuks lülitab see välja ka edastamise, mida kohalik SSH SOCKS-puhverserver vajab. Dünaamiline edastamine ei ole serveri poliitikast möödamineku auk.

Sihtotstarbelise konto jaoks eraldab OpenSSH mitu võimekust. Poliitika fragment saab lubada kohalikku edastamist, takistades samal ajal kesta- ja alamsüsteemiseansse:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Serveri käsiraamat kirjeldab MaxSessions 0 seadena, mis takistab kesta-, sisselogimis- ja alamsüsteemiseansse, lubades samal ajal edastamist. Lisage see olemasolevasse autenditud kontosse; see ei ole täielik SSH turbekonfiguratsioon.

Ainult edastamine ei ole ainult SOCKS

Fikseeritud kohalik edastamine ja SOCKS-päring võivad lõpuks paluda serverilt sama liiki sihtühendust. Kohaliku edastamise lubamine ei taga, et klient kasutas konkreetset SOCKS-liidest. Ärge kirjeldage kontot ainult SOCKS-i kasutust jõustavana.

PermitOpen saab piirata sihtkoha hosti ja pordi paare, kui konkreetne loend vastab nõudele. See ei ole üldine hostinimede lahendamist arvestav keeld iga privaatvõrgu kohta. Laiemad aadressipiirangud võivad nõuda sobivat hostivõrgu poliitikat.

Konto-, võtme- ja kaasatud serveriseaded võivad edastamist veelgi piirata. Üldine edastamiskeeld mujal võib eemaldada võimekuse, mida see fragment näib lubavat.

Kasutage tavalist serverihaldusprotseduuri koos taastamisteega, seejärel hinnake lubatud ja keelatud võimekusi eraldi. Kavandatud tulemus on selgesõnalised edastusload, mitte kogemata kättesaadavaks jäetud interaktiivne sisselogimine või omaenda piiranguga välja lülitatud puhverserver.

Seotud artiklid