PermitOpen controleert de bestemmingsnaam die de SOCKS-client opgeeft
Laat een beperkte SSH SOCKS-bestemming overeenkomen met de gevraagde hostnaam en poort, in plaats van aan te nemen dat DNS-aliassen en numerieke adressen gelijkwaardig zijn.
Een bestaand SSH-doorstuuraccount kan de bestemmingsparen beperken die zijn SOCKS-clients gebruiken. Een fragment aan de serverzijde kan één benoemde dienst toestaan:
Match User proxyuser
PermitOpen api.example.net:443Integreer dit met het bestaande authenticatie- en doorstuurbeleid van het account. PermitOpen geeft zelf geen doorstuurrechten en schakelt shell-toegang niet uit.
OpenSSH vergelijkt de opgegeven bestemmingsnamen zonder adresopzoekingen voor die vergelijking te doen. Afgezien van de gedocumenteerde wildcardvormen is de waarde geen algemeen hostnaampatroon.
Dit is belangrijk voor SOCKS5. Een client die api.example.net met poort 443 stuurt, kan bij dat paar passen. Een client die dezelfde naam lokaal oplost en een numeriek IP stuurt, heeft een andere bestemmingsreeks opgegeven. Een alias die naar hetzelfde adres verwijst, is ook anders.
Houd de lokale of via de proxy uitgevoerde resolutiemodus van de client in overeenstemming met de bedoelde regel. De latere resolutie van de toegestane hostnaam bepaalt nog steeds waar de server verbinding maakt; deze instelling is geen DNS-bewust verbod op elk privéadres.
Bekijk sleutelspecifieke beperkingen en andere toepasselijke serverinstellingen daarnaast, want elk verder doorstuurverbod kan het verzoek alsnog weigeren.