Ein SSH-proxykonto kan fungere utan skal

Hald SSH-vidaresending tilgjengeleg medan skaløkter blir deaktiverte, og forstå grensene for handheving av berre SOCKS.

Den freistande innstillinga er AllowTcpForwarding no. Dessverre deaktiverer ho òg vidaresendinga som ein lokal SSH SOCKS-proxy treng. Dynamisk vidaresending er ikkje ei bakdør rundt serverpolicyen.

For ein dedikert konto skil OpenSSH fleire eigenskapar. Eit policyfragment kan tillate lokal vidaresending medan det hindrar skal- og undersystemøkter:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Serverhandboka skildrar MaxSessions 0 som ei innstilling som hindrar skal-, innloggings- og undersystemøkter medan ho tillèt vidaresending. Integrer ho i ein eksisterande autentisert konto; ho er ikkje ein fullstendig SSH-tryggleikskonfigurasjon.

Berre vidaresending er ikkje berre SOCKS

Ei fast lokal vidaresending og ein SOCKS-førespurnad kan til slutt be serveren om same slags målkopling. Å tillate lokal vidaresending garanterer ikkje at ein klient brukte eit bestemt SOCKS-grensesnitt. Ikkje skildre kontoen som ein som handhevar berre-SOCKS-bruk.

PermitOpen kan avgrense målvert- og portpar når ei bestemt liste passar kravet. Det er ikkje eit generelt forbod som tek omsyn til vertsnamnoppslag for kvart privat nettverk. Breiare adresseavgrensingar kan krevje ein høveleg vertsnettverkspolicy.

Konto-, nøkkel- og inkluderte serverinnstillingar kan avgrense vidaresendinga ytterlegare. Eit generelt vidaresendingsforbod andre stader kan fjerne ein eigenskap dette fragmentet ser ut til å tillate.

Bruk den vanlege serveradministrasjonsprosedyren med ein gjenopprettingsveg, og vurder deretter tillatne og avviste eigenskapar kvar for seg. Det tilsikta resultatet er uttrykkelege vidaresendingstilgangar, ikkje ein interaktiv innlogging som ved eit uhell er laten tilgjengeleg, eller ein proxy som er deaktivert av si eiga avgrensing.

Relaterte artiklar