PermitOpen sprawdza nazwę miejsca docelowego podaną przez klienta SOCKS

Dopasuj ograniczone miejsce docelowe SSH SOCKS według żądanej nazwy hosta i portu, zamiast zakładać, że aliasy DNS i adresy numeryczne są równoważne.

Istniejące konto przekierowania SSH może ograniczać pary miejsc docelowych używane przez jego klientów SOCKS. Fragment po stronie serwera może zezwolić na jedną nazwaną usługę:

Match User proxyuser
    PermitOpen api.example.net:443

Zintegruj to z istniejącą polityką uwierzytelniania i przekierowania konta. PermitOpen sam nie przyznaje uprawnień do przekierowania ani nie wyłącza dostępu do powłoki.

OpenSSH porównuje podane nazwy miejsc docelowych bez wykonywania zapytań o adresy na potrzeby tego porównania. Poza udokumentowanymi formami wieloznacznymi wartość nie jest ogólnym wzorcem nazwy hosta.

Ma to znaczenie dla SOCKS5. Klient wysyłający api.example.net z portem 443 może pasować do tej pary. Klient, który rozwiąże tę samą nazwę lokalnie i wyśle numeryczny adres IP, podał inny ciąg docelowy. Alias rozwiązujący się na ten sam adres też jest inny.

Utrzymuj tryb rozwiązywania lokalnego lub przez pośrednika klienta zgodny z zamierzoną regułą. Późniejsze rozwiązanie dozwolonej nazwy hosta nadal decyduje, gdzie łączy się serwer; to ustawienie nie jest świadomym DNS zakazem każdego adresu prywatnego.

Przejrzyj obok tego ograniczenia dotyczące konkretnych kluczy i inne mające zastosowanie ustawienia serwera, ponieważ każde dodatkowe zakazanie przekierowania nadal może odrzucić żądanie.

Powiązane artykuły