მიეცით SSH-ს ლოკალური SOCKS მსმენელის გამოყენების უფლება, როცა ის ხელმისაწვდომია

შეზღუდეთ OpenSSH Match exec შემოწმება ერთ დანიშნულებაზე და გაიგეთ, რას ამტკიცებს წარმატებული ლოკალური პორტის შემოწმება და რას არა.

ლოკალური SOCKS მსმენელი ზოგიერთ ქსელში სასარგებლოა, ზოგში კი არ არსებობს. OpenSSH-ს შეუძლია პროქსი ბრძანების პირობითი არჩევა, ისე რომ ეს არჩევანი ყველა ჰოსტზე არ გავრცელდეს.

OpenBSD ფორმის nc-ის მქონე OpenSSH-ისთვის კლიენტის საილუსტრაციო კონფიგურაცია ასეთია:

Host work-server
    HostName ssh.example.net
    User alex

Match originalhost work-server exec "nc -z -w 1 127.0.0.1 1080"
    ProxyCommand nc -X 5 -x 127.0.0.1:1080 %h %p

Match all

originalhost შემოწმებას ზღუდავს SSH ბრძანების სტრიქონში მოცემული სახელით. exec ემთხვევა მაშინ, როცა მისი ბრძანება წარმატებით სრულდება. ბოლო Match all ამთავრებს ამ პირობით ფარგლებს მომდევნო პარამეტრებისთვის.

ეს ვარაუდობს, რომ არცერთ ადრინდელ მოქმედ პარამეტრს უკვე არ აურჩევია წინააღმდეგობრივი პროქსი ბრძანება ან გადახტომის მარშრუტი. SSH ჩვეულებრივ იყენებს პარამეტრის პირველ მიღებულ მნიშვნელობას, ამიტომ ზემოთ მოცემულმა ფართო ნაგულისხმევმა შეიძლება ხელი შეუშალოს მოგვიანებით პირობას მოსალოდნელი ეფექტის მოხდენაში.

მსმენი სოკეტი თავმდაბალი დაპირებაა

შემოწმება ამოწმებს TCP წვდომას ლოკალურ პორტზე. ის არ ასრულებს SOCKS მოლაპარაკებას, არ ამყარებს სასურველ დანიშნულების კავშირს და არ ამტკიცებს, რომელი პროგრამა ფლობს ამ პორტს. მსმენელი შემოწმების შემდეგაც შეიძლება გაქრეს.

დროის ლიმიტი შემოფარგლავს წარუმატებელ შემოწმებას. ნაჩვენები პარამეტრები OpenBSD-ის nc ინტერფეისს ეკუთვნის; სხვა პროგრამებმა იმავე ფაილის სახელით შეიძლება სხვა პარამეტრები შემოგვთავაზონ.

როცა პირობა არ ემთხვევა, ეს მაგალითი კავშირს ამ ProxyCommand-ის გარეშე ტოვებს და მის ჩვეულ მარშრუტს უშვებს. ეს მხოლოდ მაშინაა მიზანშეწონილი, როცა პირდაპირი წვდომა ნებადართულია. სავალდებულო პროქსი პოლიტიკამ ხელმისაწვდომობის შემოწმება სხვა მარშრუტზე გაქცევის ნებართვად არ უნდა გამოიყენოს.

სამიზნე SSH ჰოსტის სახელი და ჰოსტის გასაღების შემოწმებები კვლავ იდენტიფიცირებს დანიშნულების სერვერს. სატრანსპორტო დამხმარის არჩევა მოულოდნელი ჰოსტის გასაღების მიღების მიზეზი არ არის.

დაკავშირებული სტატიები