Akun proxy SSH dapat bekerja tanpa shell

Pertahankan penerusan SSH tetap tersedia sambil menonaktifkan sesi shell dan memahami batas penegakan hanya-SOCKS.

Setelan yang menggoda adalah AllowTcpForwarding no. Sayangnya, itu juga menonaktifkan penerusan yang dibutuhkan proxy SSH SOCKS lokal. Penerusan dinamis bukan celah di sekitar kebijakan server.

Untuk akun khusus, OpenSSH memisahkan beberapa kemampuan. Fragmen kebijakan dapat mengizinkan penerusan lokal sekaligus mencegah sesi shell dan subsistem:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Manual server menjelaskan MaxSessions 0 sebagai pencegahan sesi shell, login, dan subsistem sekaligus mengizinkan penerusan. Integrasikan ke akun terautentikasi yang sudah ada; ini bukan konfigurasi keamanan SSH yang lengkap.

Hanya penerusan bukan hanya SOCKS

Penerusan lokal tetap dan permintaan SOCKS pada akhirnya dapat meminta jenis koneksi tujuan yang sama kepada server. Mengizinkan penerusan lokal tidak menjamin klien memakai antarmuka SOCKS tertentu. Jangan gambarkan akun itu sebagai penegak penggunaan hanya-SOCKS.

PermitOpen dapat membatasi pasangan host dan port tujuan bila daftar tertentu sesuai kebutuhan. Ini bukan larangan umum yang sadar resolusi nama host untuk setiap jaringan privat. Pembatasan alamat yang lebih luas mungkin memerlukan kebijakan jaringan host yang sesuai.

Setelan akun, kunci, dan server yang disertakan dapat lebih membatasi penerusan. Larangan penerusan menyeluruh di tempat lain dapat menghapus kemampuan yang tampaknya diizinkan fragmen ini.

Gunakan prosedur administrasi server biasa dengan jalur pemulihan, lalu nilai kemampuan yang diizinkan dan ditolak secara terpisah. Hasil yang dimaksud adalah izin penerusan yang eksplisit, bukan login interaktif yang tak sengaja dibiarkan tersedia atau proxy yang dinonaktifkan oleh pembatasannya sendiri.

Artikel terkait