Ett SSH-proxykonto kan fungera utan skal

Håll SSH-vidarebefordran tillgänglig medan skalsessioner inaktiveras och förstå gränserna för att endast genomdriva SOCKS.

Den frestande inställningen är AllowTcpForwarding no. Tyvärr inaktiverar den också den vidarebefordran som en lokal SSH SOCKS-proxy behöver. Dynamisk vidarebefordran är ingen bakväg runt serverns policy.

För ett dedikerat konto skiljer OpenSSH på flera förmågor. Ett policyfragment kan tillåta lokal vidarebefordran samtidigt som det förhindrar skal- och undersystemssessioner:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Serverhandboken beskriver MaxSessions 0 som en inställning som förhindrar skal-, inloggnings- och undersystemssessioner och samtidigt tillåter vidarebefordran. Integrera den i ett befintligt autentiserat konto; den är inte en fullständig SSH-säkerhetskonfiguration.

Endast vidarebefordran är inte endast SOCKS

En fast lokal vidarebefordran och en SOCKS-begäran kan till slut be servern om samma typ av destinationsanslutning. Att tillåta lokal vidarebefordran garanterar inte att en klient använde ett visst SOCKS-gränssnitt. Beskriv inte kontot som genomdrivande endast-SOCKS-användning.

PermitOpen kan begränsa destinationsvärd- och portpar när en viss lista passar kravet. Det är inte ett allmänt förbud som tar hänsyn till värdnamnsuppslagning för varje privat nätverk. Bredare adressbegränsningar kan kräva en lämplig värdnätverkspolicy.

Konto-, nyckel- och inkluderade serverinställningar kan begränsa vidarebefordran ytterligare. Ett generellt vidarebefordringsförbud på annat håll kan ta bort en förmåga som detta fragment tycks tillåta.

Använd den vanliga serveradministrationsproceduren med en återställningsväg och bedöm sedan tillåtna och nekade förmågor var för sig. Det avsedda resultatet är uttryckliga vidarebefordringsbehörigheter, inte en interaktiv inloggning som av misstag lämnats tillgänglig eller en proxy som inaktiverats av sin egen begränsning.

Relaterade artiklar