PermitOpen verifică numele destinației pe care îl furnizează clientul SOCKS
Potriviți o destinație SSH SOCKS restricționată după numele de gazdă și portul solicitate, în loc să presupuneți că aliasurile DNS și adresele numerice sunt echivalente.
Un cont de redirecționare SSH existent poate restricționa perechile de destinații folosite de clienții săi SOCKS. Un fragment din partea serverului poate permite un singur serviciu numit:
Match User proxyuser
PermitOpen api.example.net:443Integrați aceasta în politica existentă de autentificare și redirecționare a contului. PermitOpen nu acordă singur permisiunea de redirecționare și nu dezactivează accesul la shell.
OpenSSH compară numele de destinație furnizate fără a efectua interogări de adrese pentru acea comparație. Cu excepția formelor wildcard documentate, valoarea nu este un model general de nume de gazdă.
Acest lucru contează pentru SOCKS5. Un client care trimite api.example.net cu portul 443 poate corespunde acelei perechi. Un client care rezolvă același nume local și trimite un IP numeric a furnizat un alt șir de destinație. Un alias care se rezolvă la aceeași adresă este și el diferit.
Păstrați modul de rezolvare locală sau prin proxy al clientului în concordanță cu regula dorită. Rezolvarea ulterioară a numelui de gazdă permis determină în continuare unde se conectează serverul; această setare nu este o interdicție conștientă de DNS pentru fiecare adresă privată.
Examinați alături de aceasta restricțiile specifice fiecărei chei și alte setări de server aplicabile, deoarece orice interdicție suplimentară de redirecționare poate respinge în continuare cererea.