Račun SSH proxy lahko deluje brez lupine

Ohranite posredovanje SSH na voljo, onemogočite seje lupine in razumejte meje vsiljevanja samo SOCKS.

Vabljiva nastavitev je AllowTcpForwarding no. Žal onemogoči tudi posredovanje, ki ga potrebuje lokalni SSH SOCKS proxy. Dinamično posredovanje ni luknja okoli strežniške politike.

Za namenski račun OpenSSH loči več zmožnosti. Del politike lahko dovoli lokalno posredovanje, medtem ko preprečuje seje lupine in podsistema:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Priročnik strežnika opisuje MaxSessions 0 kot nastavitev, ki preprečuje seje lupine, prijave in podsistema ter dovoljuje posredovanje. Vgradite jo v obstoječi overjeni račun; to ni popolna varnostna konfiguracija SSH.

Samo posredovanje ni samo SOCKS

Fiksno lokalno posredovanje in zahteva SOCKS lahko nazadnje od strežnika zahtevajo isto vrsto ciljne povezave. Dovoljenje lokalnega posredovanja ne zagotavlja, da je odjemalec uporabil določen vmesnik SOCKS. Računa ne opisujte kot takega, ki vsiljuje uporabo samo SOCKS.

PermitOpen lahko omeji pare ciljnega gostitelja in vrat, ko seznam ustreza zahtevi. To ni splošna prepoved, ki upošteva razreševanje imen gostiteljev, za vsako zasebno omrežje. Širše omejitve naslovov lahko zahtevajo ustrezno omrežno politiko gostitelja.

Nastavitve računa, ključa in vključene nastavitve strežnika lahko posredovanje še bolj omejijo. Splošna prepoved posredovanja drugje lahko odstrani zmožnost, ki jo ta del očitno dovoljuje.

Uporabite običajni postopek upravljanja strežnika s potjo za obnovitev, nato ločeno ocenite dovoljene in prepovedane zmožnosti. Predvideni izid so izrecna dovoljenja za posredovanje, ne interaktivna prijava, pomotoma puščena na voljo, ali proxy, onemogočen zaradi lastne omejitve.

Sorodni članki