Engedje, hogy az SSH helyi SOCKS-figyelőt használjon, ha van ilyen

Szűkítse az OpenSSH Match exec ellenőrzését egyetlen célra, és értse meg, mit bizonyít és mit nem egy sikeres helyiport-próba.

A helyi SOCKS-figyelő egyes hálózatokon hasznos, másokon nincs. Az OpenSSH feltételesen választhat proxyparancsot, anélkül hogy ez a választás minden hosztra érvényes lenne.

Az OpenBSD-formájú nc mellett az OpenSSH példakénti klienskonfigurációja:

Host work-server
    HostName ssh.example.net
    User alex

Match originalhost work-server exec "nc -z -w 1 127.0.0.1 1080"
    ProxyCommand nc -X 5 -x 127.0.0.1:1080 %h %p

Match all

Az originalhost az ellenőrzést az SSH parancssorban megadott névre korlátozza. Az exec akkor illeszkedik, amikor a parancsa sikeresen befejeződik. A záró Match all lezárja ezt a feltételes hatókört a következő beállítások előtt.

Ez feltételezi, hogy egyetlen korábbi érvényes beállítás sem választott már ellentmondó proxyparancsot vagy ugrási útvonalat. Az SSH általában az elsőként kapott értéket használja egy beállításnál, ezért egy felül szereplő széles alapértelmezés megakadályozhatja, hogy egy későbbi feltétel a várt hatást fejtse ki.

Egy figyelő socket szerény ígéret

A próba a helyi port TCP-elérését vizsgálja. Nem fejezi be a SOCKS-egyeztetést, nem hozza létre a kívánt célkapcsolatot, és nem bizonyítja, melyik program birtokolja a portot. A figyelő az ellenőrzés után el is tűnhet.

Az időkorlát korlátozottan tartja a sikertelen próbát. A látható kapcsolók az OpenBSD nc felületéhez tartoznak; más, ugyanilyen fájlnevű programok eltérő kapcsolókat kínálhatnak.

Ha a feltétel nem illeszkedik, a példa e ProxyCommand nélkül hagyja a kapcsolatot, engedve a szokásos útvonalát. Ez csak akkor helyénvaló, ha a közvetlen hozzáférés engedélyezett. Egy kötelező proxyszabályzatnak nem szabad az elérhetőségi próbát a másik útvonalra való kilépés engedélyeként használnia.

A cél SSH-hosztnév és a hosztkulcs-ellenőrzések továbbra is azonosítják a célkiszolgálót. A szállítási segéd kiválasztása nem ok arra, hogy elfogadjunk egy váratlan hosztkulcsot.

Kapcsolódó cikkek