SSH proxy paskyra gali veikti be apvalkalo

Išlaikykite SSH persiuntimą pasiekiamą, išjungdami apvalkalo sesijas ir suprasdami vien tik SOCKS vykdymo ribas.

Vilianti nuostata yra AllowTcpForwarding no. Deja, ji išjungia ir persiuntimą, kurio reikia vietiniam SSH SOCKS tarpiniam serveriui. Dinaminis persiuntimas nėra spraga aplink serverio politiką.

Skirtai paskyrai OpenSSH atskiria keletą galimybių. Politikos fragmentas gali leisti vietinį persiuntimą ir kartu blokuoti apvalkalo bei posistemio sesijas:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Serverio vadovas aprašo MaxSessions 0 kaip nuostatą, kuri blokuoja apvalkalo, prisijungimo ir posistemio sesijas ir leidžia persiuntimą. Įtraukite ją į esamą autentifikuotą paskyrą; tai nėra visa SSH saugumo konfigūracija.

Vien persiuntimas nėra vien SOCKS

Fiksuotas vietinis persiuntimas ir SOCKS užklausa galiausiai gali paprašyti serverio tos pačios rūšies paskirties ryšio. Vietinio persiuntimo leidimas negarantuoja, kad klientas naudojo konkrečią SOCKS sąsają. Neapibūdinkite paskyros kaip įpareigojančios naudoti vien SOCKS.

PermitOpen gali apriboti paskirties hosto ir prievado poras, kai konkretus sąrašas atitinka reikalavimą. Tai nėra bendras draudimas, atsižvelgiantis į hostų vardų skyrimą, kiekvienam privačiam tinklui. Platesniems adresų apribojimams gali prireikti tinkamos hosto tinklo politikos.

Paskyros, rakto ir įtrauktos serverio nuostatos gali dar labiau apriboti persiuntimą. Bendras persiuntimo draudimas kitur gali panaikinti galimybę, kurią šis fragmentas, atrodo, leidžia.

Naudokite įprastą serverio administravimo procedūrą su atkūrimo keliu, tada atskirai įvertinkite leidžiamas ir draudžiamas galimybes. Siekiamas rezultatas yra aiškūs persiuntimo leidimai, o ne netyčia paliktas interaktyvus prisijungimas ar tarpinis serveris, išjungtas dėl savo paties apribojimo.

Susiję straipsniai