PermitOpen은 SOCKS 클라이언트가 보내는 대상 이름을 검사한다
제한된 SSH SOCKS 대상을 요청된 호스트 이름과 포트로 맞추십시오. DNS 별칭과 숫자 주소가 같다고 가정하지 마십시오.
기존 SSH 포워딩 계정은 해당 SOCKS 클라이언트가 사용하는 대상 쌍을 제한할 수 있습니다. 서버 측 조각으로 이름이 지정된 서비스 하나를 허용할 수 있습니다:
Match User proxyuser
PermitOpen api.example.net:443이를 계정의 기존 인증 및 포워딩 정책과 통합하십시오. PermitOpen 자체는 포워딩 권한을 부여하지 않으며 shell 접근을 비활성화하지도 않습니다.
OpenSSH는 제공된 대상 이름을 그 비교를 위한 주소 조회 없이 비교합니다. 문서화된 와일드카드 형식을 제외하면 이 값은 일반적인 호스트 이름 패턴이 아닙니다.
이는 SOCKS5에서 중요합니다. api.example.net을 포트 443과 함께 보내는 클라이언트는 그 쌍과 일치할 수 있습니다. 같은 이름을 로컬에서 해석해 숫자 IP를 보내는 클라이언트는 다른 대상 문자열을 제공한 것입니다. 같은 주소로 해석되는 별칭도 다릅니다.
클라이언트의 로컬 대 프록시 해석 모드를 의도한 규칙과 일치하게 유지하십시오. 허용된 호스트 이름의 이후 해석은 여전히 서버가 어디로 연결할지를 결정합니다. 이 설정은 모든 사설 주소를 금지하는 DNS 인식 차단이 아닙니다.
키별 제한과 기타 적용되는 서버 설정도 함께 검토하십시오. 추가 포워딩 금지가 있으면 요청이 여전히 거부될 수 있습니다.