SSH პროქსის ანგარიში შეიძლება shell-ის გარეშე მუშაობდეს

მაცდური პარამეტრია AllowTcpForwarding no. სამწუხაროდ, ის თიშავს იმ გადაგზავნასაც, რომელიც ლოკალურ SSH SOCKS პროქსის სჭირდება. დინამიური გადაგზავნა სერვერის პოლიტიკის გვერდის ავლის ხვრელი არ არის.

გამოყოფილი ანგარიშისთვის OpenSSH რამდენიმე შესაძლებლობას ჰყოფს. პოლიტიკის ფრაგმენტს შეუძლია დაუშვას ლოკალური გადაგზავნა და ამავდროულად აკრძალოს shell და ქვესისტემის სესიები:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

სერვერის სახელმძღვანელო MaxSessions 0-ს აღწერს როგორც პარამეტრს, რომელიც ბლოკავს shell, შესვლისა და ქვესისტემის სესიებს და უშვებს გადაგზავნას. ჩართეთ ის არსებულ ავთენტიფიცირებულ ანგარიშში; ეს არ არის სრული SSH უსაფრთხოების კონფიგურაცია.

მხოლოდ გადაგზავნა არ ნიშნავს მხოლოდ SOCKS-ს

ფიქსირებულ ლოკალურ გადაგზავნას და SOCKS მოთხოვნას საბოლოოდ შეუძლია სერვერისგან იგივე ტიპის დანიშნულების კავშირი ითხოვოს. ლოკალური გადაგზავნის დაშვება არ იძლევა გარანტიას, რომ კლიენტმა კონკრეტული SOCKS ინტერფეისი გამოიყენა. ნუ აღწერთ ანგარიშს როგორც მხოლოდ SOCKS-ის გამოყენების მოძალადეს.

PermitOpen შეიძლება შეზღუდოს დანიშნულების ჰოსტისა და პორტის წყვილები, როცა კონკრეტული სია მოთხოვნას შეესაბამება. ეს არ არის ზოგადი აკრძალვა, რომელიც ჰოსტის სახელების გარჩევას ითვალისწინებს ყველა კერძო ქსელისთვის. უფრო ფართო მისამართების შეზღუდვებს შეიძლება დასჭირდეს შესაბამისი ჰოსტის ქსელური პოლიტიკა.

ანგარიშის, გასაღებისა და ჩართული სერვერის პარამეტრებს შეუძლია გადაგზავნა კიდევ უფრო შეზღუდოს. სხვაგან არსებულმა ყოვლისმომცველმა გადაგზავნის აკრძალვამ შეიძლება წაშალოს შესაძლებლობა, რომელსაც ეს ფრაგმენტი თითქოს უშვებს.

გამოიყენეთ სერვერის ადმინისტრირების ჩვეულებრივი პროცედურა აღდგენის გზით, შემდეგ ცალ-ცალკე შეაფასეთ დაშვებული და აკრძალული შესაძლებლობები. სასურველი შედეგია გადაგზავნის ცხადი ნებართვები და არა შემთხვევით ხელმისაწვდომი ინტერაქტიული შესვლა ან საკუთარი შეზღუდვით გამორთული პროქსი.