SSH starpniekservera konts var strādāt bez čaulas

Saglabājiet SSH pāradresēšanu pieejamu, izslēdzot čaulas sesijas un saprotot tikai SOCKS piemērošanas ierobežojumus.

Kārdinošais iestatījums ir AllowTcpForwarding no. Diemžēl tas izslēdz arī pāradresēšanu, kas vajadzīga vietējam SSH SOCKS starpniekserverim. Dinamiskā pāradresēšana nav sprauga ap servera politiku.

Veltītam kontam OpenSSH atdala vairākas iespējas. Politikas fragments var atļaut vietējo pāradresēšanu, vienlaikus bloķējot čaulas un apakšsistēmas sesijas:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Servera rokasgrāmata apraksta MaxSessions 0 kā iestatījumu, kas bloķē čaulas, pieteikšanās un apakšsistēmas sesijas un atļauj pāradresēšanu. Iekļaujiet to esošā autentificētā kontā; tā nav pilnīga SSH drošības konfigurācija.

Tikai pāradresēšana nav tikai SOCKS

Fiksēta vietējā pāradresēšana un SOCKS pieprasījums galu galā var pieprasīt serverim tāda paša veida galamērķa savienojumu. Vietējās pāradresēšanas atļaušana negarantē, ka klients izmantoja konkrētu SOCKS saskarni. Neaprakstiet kontu kā tādu, kas piespiež lietot tikai SOCKS.

PermitOpen var ierobežot galamērķa resursdatora un porta pārus, ja konkrēts saraksts atbilst prasībai. Tas nav vispārējs aizliegums, kas ņem vērā resursdatoru nosaukumu izšķiršanu, katram privātajam tīklam. Plašākiem adrešu ierobežojumiem var būt nepieciešama atbilstoša resursdatora tīkla politika.

Konta, atslēgas un iekļautie servera iestatījumi var vēl vairāk ierobežot pāradresēšanu. Vispārējs pāradresēšanas aizliegums citur var noņemt iespēju, ko šis fragments šķietami atļauj.

Izmantojiet parasto servera administrēšanas procedūru ar atkopšanas ceļu, pēc tam atsevišķi novērtējiet atļautās un aizliegtās iespējas. Paredzētais rezultāts ir skaidras pāradresēšanas atļaujas, nevis nejauši pieejama atstāta interaktīva pieteikšanās vai starpniekserveris, kas atslēgts ar savu paša ierobežojumu.

Saistītie raksti