Un compte proxy SSH peut fonctionner sans shell

Gardez le transfert SSH disponible tout en désactivant les sessions shell et en comprenant les limites d'une application SOCKS uniquement.

Le réglage tentant est AllowTcpForwarding no. Malheureusement, il désactive aussi le transfert dont un proxy SSH SOCKS local a besoin. Le transfert dynamique n'est pas une échappatoire à la politique du serveur.

Pour un compte dédié, OpenSSH sépare plusieurs capacités. Un fragment de politique peut autoriser le transfert local tout en empêchant les sessions shell et de sous-système :

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Le manuel du serveur décrit MaxSessions 0 comme empêchant les sessions shell, de connexion et de sous-système tout en autorisant le transfert. Intégrez-le à un compte authentifié existant ; ce n'est pas une configuration de sécurité SSH complète.

Transfert uniquement n'est pas SOCKS uniquement

Un transfert local fixe et une requête SOCKS peuvent finalement demander au serveur le même type de connexion de destination. Autoriser le transfert local ne garantit pas qu'un client ait utilisé une interface SOCKS particulière. Ne décrivez pas le compte comme imposant un usage SOCKS uniquement.

PermitOpen peut restreindre les paires hôte et port de destination lorsqu'une liste précise correspond au besoin. Ce n'est pas une interdiction générale tenant compte de la résolution de noms sur chaque réseau privé. Des restrictions d'adresses plus larges peuvent nécessiter une politique réseau d'hôte adaptée.

Les paramètres du compte, de la clé et du serveur inclus peuvent restreindre davantage le transfert. Une interdiction générale de transfert ailleurs peut supprimer une capacité que ce fragment semble autoriser.

Utilisez la procédure normale d'administration du serveur avec un chemin de récupération, puis évaluez séparément les capacités autorisées et refusées. Le résultat visé est des autorisations de transfert explicites, non une connexion interactive laissée disponible par accident ni un proxy désactivé par sa propre restriction.

Articles similaires