Dovoli SSH, da uporabi lokalni poslušalnik SOCKS, ko je na voljo

Omejite preverjanje Match exec v OpenSSH na en cilj in razumejte, kaj uspešno preverjanje lokalnih vrat dokazuje in česa ne.

Lokalni poslušalnik SOCKS je uporaben v nekaterih omrežjih, v drugih pa ga ni. OpenSSH lahko pogojno izbere ukaz proxy, ne da bi ta izbira veljala za vsakega gostitelja.

Za OpenSSH s obliko nc iz OpenBSD je ponazoritvena konfiguracija odjemalca:

Host work-server
    HostName ssh.example.net
    User alex

Match originalhost work-server exec "nc -z -w 1 127.0.0.1 1080"
    ProxyCommand nc -X 5 -x 127.0.0.1:1080 %h %p

Match all

originalhost omeji preverjanje na ime, podano v ukazni vrstici SSH. exec se ujema, ko se njegov ukaz uspešno konča. Končni Match all zaključi to pogojno območje za naslednje nastavitve.

To predpostavlja, da nobena prejšnja veljavna nastavitev še ni izbrala nasprotujočega ukaza proxy ali poti preskoka. SSH običajno uporabi prvo pridobljeno vrednost možnosti, zato lahko široka privzeta vrednost na vrhu prepreči, da bi poznejši pogoj imel pričakovani učinek.

Poslušajoča vtičnica je skromna obljuba

Preverjanje preizkusi dostop TCP do lokalnih vrat. Ne dokonča pogajanja SOCKS, ne vzpostavi želene povezave s ciljem in ne dokaže, kateri program ima ta vrata. Poslušalnik lahko po preverjanju tudi izgine.

Časovna omejitev ohranja neuspešno preverjanje v mejah. Prikazane možnosti pripadajo vmesniku nc iz OpenBSD; drugi programi z istim imenom datoteke lahko ponudijo drugačne možnosti.

Ko se pogoj ne ujema, ta primer pusti povezavo brez tega ProxyCommand, s čimer dovoli njeno običajno pot. To je primerno le, kadar je dovoljen neposreden dostop. Obvezna politika proxy ne sme preverjanja razpoložljivosti uporabiti kot dovoljenje za pobeg na drugo pot.

Ciljno ime gostitelja SSH in preverjanja ključa gostitelja še vedno prepoznata ciljni strežnik. Izbira pomočnika za prenos ni razlog za sprejem nepričakovanega ključa gostitelja.

Sorodni članki