Ваш пароль SSH — не пароль SOCKS

Вы ввели пароль, чтобы запустить ssh -D. Он аутентифицировал ваше SSH-соединение. Но он не создал защищённую паролем учётную запись SOCKS для каждой программы, которая может достичь нового прослушивателя.

Динамическое перенаправление OpenSSH предоставляет локальную службу SOCKS через аутентифицированный транспорт SSH. Его обработка SOCKS5 выбирает метод без аутентификации; это не общий сервер SOCKS с именем пользователя и паролем.

Для личного использования привяжите локально:

ssh -N -D 127.0.0.1:1080 [email protected]

Программы на этом компьютере используют порт 1080, не вводя ваш пароль SSH как пароль SOCKS. Документация по динамическому перенаправлению описывает прослушиватель, а исходный код обработки SOCKS в OpenSSH даёт подробности аутентификации.

Совместное использование меняет задачу

Привязка к адресу LAN делает порт доступным за пределами первоначального локального использования. Близкие клиенты не создают отдельные сеансы SSH только потому, что их трафик идёт через ваш. Если сеть разрешает доступ, эти клиенты могут разделять внешнюю идентичность вашего шлюза.

Брандмауэр может ограничить доступных клиентов, но не добавляет обмен входом SOCKS. Для отдельных имён пользователей SOCKS, квот или правил для каждого пользователя выбирайте сервер, поддерживающий эти функции. Например, Dante документирует аутентификацию SOCKS отдельно от ограничений адресов клиентов.

Это также помогает при поиске неисправностей. Клиент, настаивающий на методе имени пользователя и пароля SOCKS, может не договориться с этим прослушивателем так, как вы ожидаете. Настройте программу или выберите подходящую аутентифицированную службу SOCKS; повторные попытки вашего пароля SSH адресуют не тот вход.

Доступность только локально — всё ещё граница, которую нужно понимать, а не утверждение, что каждый процесс на локальном компьютере принадлежит одному и тому же пользователю.