PermitOpen verifica il nome di destinazione fornito dal client SOCKS

Un account di inoltro SSH esistente può limitare le coppie di destinazione usate dai suoi client SOCKS. Un frammento lato server può consentire un servizio con nome:

Match User proxyuser
    PermitOpen api.example.net:443

Integratelo con la politica di autenticazione e inoltro già esistente dell'account. PermitOpen non concede di per sé il permesso di inoltro e non disattiva l'accesso alla shell.

OpenSSH confronta i nomi di destinazione forniti senza eseguire ricerche di indirizzi per quel confronto. Salvo le forme wildcard documentate, il valore non è un modello generale di nome host.

Questo conta per SOCKS5. Un client che invia api.example.net con la porta 443 può corrispondere a quella coppia. Un client che risolve lo stesso nome localmente e invia un IP numerico ha fornito una stringa di destinazione diversa. Anche un alias che risolve allo stesso indirizzo è diverso.

Mantenete la modalità di risoluzione locale o tramite proxy del client coerente con la regola prevista. La successiva risoluzione del nome host consentito determina comunque dove si connette il server; questa impostazione non è un divieto consapevole del DNS per ogni indirizzo privato.

Esaminate insieme a questo le restrizioni specifiche per chiave e le altre impostazioni del server applicabili, perché qualsiasi ulteriore divieto di inoltro può ancora rifiutare la richiesta.