PermitOpen проверяет имя назначения, которое передаёт клиент SOCKS

Сопоставляйте ограниченное назначение SSH SOCKS по запрошенному имени хоста и порту, а не считайте псевдонимы DNS и числовые адреса равнозначными.

Существующая учётная запись перенаправления SSH может ограничивать пары назначений, используемые её клиентами SOCKS. Фрагмент на стороне сервера может разрешить одну именованную службу:

Match User proxyuser
    PermitOpen api.example.net:443

Включите это в существующую политику аутентификации и перенаправления учётной записи. PermitOpen сам по себе не даёт разрешения на перенаправление и не отключает доступ к shell.

OpenSSH сравнивает переданные имена назначений, не выполняя для этого сравнения запросы адресов. За исключением задокументированных форм с подстановочными знаками, значение не является общим шаблоном имени хоста.

Это важно для SOCKS5. Клиент, отправляющий api.example.net с портом 443, может совпасть с этой парой. Клиент, который разрешает то же имя локально и отправляет числовой IP, передал другую строку назначения. Псевдоним, разрешаемый в тот же адрес, тоже отличается.

Поддерживайте режим локального или прокси-разрешения клиента в соответствии с задуманным правилом. Последующее разрешение разрешённого имени хоста по-прежнему определяет, куда подключается сервер; эта настройка не является DNS-осведомлённым запретом для каждого частного адреса.

Просмотрите вместе с этим ограничения для конкретных ключей и другие применимые настройки сервера, поскольку любой дополнительный запрет перенаправления всё равно может отклонить запрос.

Похожие статьи