PermitOpen проверава назив одредишта који доставља SOCKS клијент

Ускладите ограничено SSH SOCKS одредиште према траженом називу хоста и порту, уместо да претпостављате да су DNS алијаси и нумеричке адресе једнаке.

Постојећи налог за SSH прослеђивање може ограничити парове одредишта које користе његови SOCKS клијенти. Фрагмент на страни сервера може дозволити једну именовану услугу:

Match User proxyuser
    PermitOpen api.example.net:443

Уклопите то у постојећу политику провере идентитета и прослеђивања налога. PermitOpen сам по себи не даје дозволу за прослеђивање нити искључује приступ shell-у.

OpenSSH упоређује достављене називе одредишта без обављања претрага адреса за то поређење. Осим документованих wildcard облика, вредност није општи узорак назива хоста.

То је важно за SOCKS5. Клијент који шаље api.example.net са портом 443 може се подударити с тим паром. Клијент који исто име реши локално и пошаље нумерички IP доставио је други низ одредишта. Алијас који води на исту адресу такође је различит.

Држите начин локалног насупрот прокси разрешавању клијента усклађеним с намераваним правилом. Касније разрешавање дозвољеног назива хоста и даље одређује где се сервер повезује; ово подешавање није DNS-освешћена забрана сваке приватне адресе.

Прегледајте ограничења специфична за кључеве и друга применљива подешавања сервера уз то, јер свака даља забрана прослеђивања ипак може одбити захтев.

Повезани чланци