חשבון פרוקסי SSH יכול לעבוד בלי מעטפת

ההגדרה המפתה היא AllowTcpForwarding no. למרבה הצער, היא גם משביתה את ההעברה שפרוקסי SSH SOCKS מקומי זקוק לה. העברה דינמית אינה פרצה לעקיפת מדיניות השרת.

עבור חשבון ייעודי, OpenSSH מפריד בין כמה יכולות. קטע מדיניות יכול לאפשר העברה מקומית ובמקביל למנוע הפעלות מעטפת ותת-מערכת:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

מדריך השרת מתאר את MaxSessions 0 כהגדרה שמונעת הפעלות מעטפת, התחברות ותת-מערכת ומאפשרת העברה. שלבו אותה בחשבון מאומת קיים; זו אינה תצורת אבטחת SSH מלאה.

העברה בלבד אינה SOCKS בלבד

העברה מקומית קבועה ובקשת SOCKS יכולות בסופו של דבר לבקש מהשרת אותו סוג של חיבור יעד. מתן הרשאה להעברה מקומית אינו מבטיח שהלקוח השתמש בממשק SOCKS מסוים. אל תתארו את החשבון כאוכף שימוש ב-SOCKS בלבד.

PermitOpen יכול להגביל זוגות מארח ויציאה של יעד כאשר רשימה מסוימת מתאימה לדרישה. זה אינו איסור כללי המודע לפתרון שמות על כל רשת פרטית. הגבלות כתובות רחבות יותר עשויות לדרוש מדיניות רשת מארח מתאימה.

הגדרות חשבון, מפתח ושרת נכללות עשויות להגביל עוד את ההעברה. איסור העברה גורפת במקום אחר עלול להסיר יכולת שהקטע הזה לכאורה מתיר.

השתמשו בהליך ניהול השרת הרגיל עם נתיב שחזור, ואז העריכו בנפרד את היכולות המותרות והאסורות. התוצאה המיועדת היא הרשאות העברה מפורשות, לא התחברות אינטראקטיבית שהושארה זמינה בטעות ולא פרוקסי שהושבת בגלל המגבלה שלו עצמו.