Ļaut SSH izmantot lokālu SOCKS klausītāju, kad tas pieejams

Sašauriniet OpenSSH Match exec pārbaudi līdz vienam galamērķim un saprotiet, ko veiksmīga lokālā porta pārbaude pierāda un ko nē.

Lokāls SOCKS klausītājs noder dažos tīklos, bet citos tā nav. OpenSSH var nosacīti izvēlēties starpniekservera komandu, neattiecinot šo izvēli uz visiem resursdatoriem.

OpenSSH ar OpenBSD formas nc gadījumā ilustratīva klienta konfigurācija ir šāda:

Host work-server
    HostName ssh.example.net
    User alex

Match originalhost work-server exec "nc -z -w 1 127.0.0.1 1080"
    ProxyCommand nc -X 5 -x 127.0.0.1:1080 %h %p

Match all

originalhost ierobežo pārbaudi ar nosaukumu, kas dots SSH komandrindā. exec atbilst, kad tā komanda beidzas veiksmīgi. Noslēdzošais Match all pārtrauc šo nosacīto tvērumu turpmākajiem iestatījumiem.

Šis pieņem, ka neviens iepriekšējs piemērojams iestatījums vēl nav izvēlējies pretrunīgu starpniekservera komandu vai lēciena maršrutu. SSH parasti izmanto pirmo iegūto vērtību, tāpēc plašs noklusējums augšgalā var neļaut vēlākam nosacījumam gūt gaidīto ietekmi.

Klausoša ligzda ir pieticīgs solījums

Pārbaude pārbauda TCP piekļuvi lokālajam portam. Tā nepabeidz SOCKS sarunu, neizveido vajadzīgo galamērķa savienojumu un nepierāda, kura programma pārvalda šo portu. Klausītājs var pazust arī pēc pārbaudes.

Noildze ierobežo neizdevušos pārbaudi. Parādītās opcijas pieder OpenBSD nc saskarnei; citas programmas ar tādu pašu faila nosaukumu var piedāvāt citas opcijas.

Ja nosacījums neatbilst, šis piemērs atstāj savienojumu bez šīs ProxyCommand un ļauj tā parasto maršrutu. Tas ir piemēroti tikai tad, ja tieša piekļuve ir atļauta. Obligātai starpniekservera politikai nevajadzētu izmantot pieejamības pārbaudi kā atļauju izbēgt uz citu maršrutu.

Mērķa SSH resursdatora nosaukums un resursdatora atslēgas pārbaudes joprojām identificē galamērķa serveri. Transporta palīga izvēle nav iemesls pieņemt negaidītu resursdatora atslēgu.

Saistītie raksti