En SSH-proxykonto kan fungere uten skall

Hold SSH-videresending tilgjengelig mens skalløkter deaktiveres, og forstå grensene for håndheving av kun SOCKS.

Den fristende innstillingen er AllowTcpForwarding no. Dessverre deaktiverer den også videresendingen som en lokal SSH SOCKS-proxy trenger. Dynamisk videresending er ikke en bakvei rundt serverpolicyen.

For en dedikert konto skiller OpenSSH flere egenskaper. Et policyfragment kan tillate lokal videresending mens det hindrer skall- og undersystemøkter:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Serverhåndboken beskriver MaxSessions 0 som en innstilling som hindrer skall-, innloggings- og undersystemøkter mens den tillater videresending. Integrer den i en eksisterende autentisert konto; den er ikke en fullstendig SSH-sikkerhetskonfigurasjon.

Kun videresending er ikke kun SOCKS

En fast lokal videresending og en SOCKS-forespørsel kan til slutt be serveren om samme slags destinasjonstilkobling. Å tillate lokal videresending garanterer ikke at en klient brukte et bestemt SOCKS-grensesnitt. Ikke beskriv kontoen som håndhever kun-SOCKS-bruk.

PermitOpen kan begrense destinasjonsvert- og portpar når en bestemt liste passer kravet. Det er ikke et generelt forbud som tar hensyn til vertsnavnoppslag for hvert privat nettverk. Bredere adressebegrensninger kan kreve en passende vertsnettverkspolicy.

Konto-, nøkkel- og inkluderte serverinnstillinger kan begrense videresending ytterligere. Et generelt videresendingsforbud andre steder kan fjerne en egenskap dette fragmentet ser ut til å tillate.

Bruk den vanlige serveradministrasjonsprosedyren med en gjenopprettingsvei, og vurder deretter tillatte og avviste egenskaper hver for seg. Det tilsiktede resultatet er uttrykkelige videresendingstillatelser, ikke en interaktiv innlogging som ved et uhell er latt tilgjengelig, eller en proxy som er deaktivert av sin egen begrensning.

Relaterte artikler