SSH-välityspalvelintili voi toimia ilman kuorta

Pidä SSH-edelleenohjaus käytettävissä, poista kuoristunnot käytöstä ja ymmärrä vain SOCKS -pakotuksen rajat.

Houkutteleva asetus on AllowTcpForwarding no. Valitettavasti se poistaa käytöstä myös edelleenohjauksen, jota paikallinen SSH SOCKS -välityspalvelin tarvitsee. Dynaaminen edelleenohjaus ei ole palvelimen käytännön kiertotie.

Erilliselle tilille OpenSSH erottaa useita ominaisuuksia. Käytäntökatkelma voi sallia paikallisen edelleenohjauksen ja estää samalla kuori- ja alijärjestelmäistunnot:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Palvelimen käsikirja kuvaa MaxSessions 0 asetukseksi, joka estää kuori-, kirjautumis- ja alijärjestelmäistunnot ja sallii edelleenohjauksen. Liitä se olemassa olevaan todennettuun tiliin; se ei ole täydellinen SSH-turva-asetus.

Pelkkä edelleenohjaus ei ole pelkkä SOCKS

Kiinteä paikallinen edelleenohjaus ja SOCKS-pyyntö voivat lopulta pyytää palvelimelta samanlaista kohdeyhteyttä. Paikallisen edelleenohjauksen salliminen ei takaa, että asiakas käytti tiettyä SOCKS-rajapintaa. Älä kuvaa tiliä vain SOCKS -käyttöä pakottavana.

PermitOpen voi rajoittaa kohdeisäntä- ja porttipareja, kun tietty luettelo sopii vaatimukseen. Se ei ole yleinen isäntänimien selvityksen huomioiva kielto jokaiseen yksityisverkkoon. Laajemmat osoiterajoitukset voivat vaatia asianmukaisen isäntäverkon käytännön.

Tili-, avain- ja sisällytetyt palvelinasetukset voivat rajoittaa edelleenohjausta lisää. Yleinen edelleenohjauskielto muualla voi poistaa ominaisuuden, jonka tämä katkelma näyttää sallivan.

Käytä tavanomaista palvelimen hallintamenettelyä ja palautuspolkua, arvioi sitten sallitut ja kielletyt ominaisuudet erikseen. Tavoitteena ovat nimenomaiset edelleenohjausoikeudet, ei vahingossa käytettäväksi jäänyt interaktiivinen kirjautuminen tai oman rajoituksensa poistama välityspalvelin.

Aiheeseen liittyvät artikkelit