Akaun proksi SSH boleh berfungsi tanpa shell

Tetapan yang menggoda ialah AllowTcpForwarding no. Malangnya, ia juga mematikan pemajuan yang diperlukan oleh proksi SSH SOCKS tempatan. Pemajuan dinamik bukan jalan pintas mengelilingi dasar pelayan.

Untuk akaun khusus, OpenSSH mengasingkan beberapa keupayaan. Serpihan dasar boleh membenarkan pemajuan tempatan sambil menghalang sesi shell dan subsistem:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Manual pelayan menerangkan MaxSessions 0 sebagai tetapan yang menghalang sesi shell, log masuk dan subsistem sambil membenarkan pemajuan. Integrasikan ke dalam akaun disahkan yang sedia ada; ini bukan konfigurasi keselamatan SSH yang lengkap.

Hanya pemajuan bukan hanya SOCKS

Pemajuan tempatan tetap dan permintaan SOCKS akhirnya boleh meminta jenis sambungan destinasi yang sama daripada pelayan. Membenarkan pemajuan tempatan tidak menjamin klien menggunakan antara muka SOCKS tertentu. Jangan gambarkan akaun itu sebagai menguatkuasakan penggunaan SOCKS sahaja.

PermitOpen boleh mengehadkan pasangan hos dan port destinasi apabila senarai tertentu sesuai dengan keperluan. Ini bukan larangan umum yang sedar penyelesaian nama hos bagi setiap rangkaian peribadi. Sekatan alamat yang lebih luas mungkin memerlukan dasar rangkaian hos yang sesuai.

Tetapan akaun, kunci dan pelayan yang disertakan boleh mengehadkan pemajuan lagi. Larangan pemajuan menyeluruh di tempat lain boleh membuang keupayaan yang serpihan ini nampak benarkan.

Gunakan prosedur pentadbiran pelayan biasa dengan laluan pemulihan, kemudian nilai keupayaan yang dibenarkan dan dinafikan secara berasingan. Hasil yang dimaksudkan ialah kebenaran pemajuan yang jelas, bukan log masuk interaktif yang tertinggal tersedia secara tidak sengaja atau proksi yang dimatikan oleh sekatan sendiri.