Účet SSH proxy môže fungovať bez shellu

Zachovajte presmerovanie SSH dostupné, vypnite relácie shellu a pochopte limity vynucovania iba SOCKS.

Lákavé nastavenie je AllowTcpForwarding no. Bohužiaľ, vypína aj presmerovanie, ktoré potrebuje lokálny SSH SOCKS proxy. Dynamické presmerovanie nie je zadné dvierka okolo zásad servera.

Pre vyhradený účet OpenSSH oddeľuje niekoľko schopností. Fragment zásad môže povoliť lokálne presmerovanie a zároveň blokovať relácie shellu a subsystémov:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Príručka servera opisuje MaxSessions 0 ako nastavenie, ktoré blokuje relácie shellu, prihlásenia a subsystémov a pritom povoľuje presmerovanie. Začleňte ho do existujúceho overeného účtu; nie je to kompletná bezpečnostná konfigurácia SSH.

Iba presmerovanie nie je iba SOCKS

Pevné lokálne presmerovanie a požiadavka SOCKS môžu napokon požiadať server o rovnaký druh cieľového spojenia. Povolenie lokálneho presmerovania nezaručuje, že klient použil konkrétne rozhranie SOCKS. Nepopisujte účet ako vynucujúci používanie iba SOCKS.

PermitOpen môže obmedziť dvojice cieľového hostiteľa a portu, keď konkrétny zoznam zodpovedá požiadavke. Nejde o všeobecný zákaz zohľadňujúci preklad názvov hostiteľov pre každú privátnu sieť. Širšie obmedzenia adries môžu vyžadovať vhodnú sieťovú zásadu hostiteľa.

Nastavenia účtu, kľúča a zahrnuté nastavenia servera môžu presmerovanie ďalej obmedziť. Plošný zákaz presmerovania inde môže odobrať schopnosť, ktorú tento fragment zjavne povoľuje.

Použite obvyklý postup správy servera s cestou obnovy a potom posúďte povolené a zakázané schopnosti oddelene. Zamýšľaným výsledkom sú výslovné oprávnenia na presmerovanie, nie interaktívne prihlásenie omylom ponechané dostupné alebo proxy vypnutý vlastným obmedzením.

Súvisiace články