PermitOpen kontrollerar destinationsnamnet som SOCKS-klienten anger
Matcha en begränsad SSH SOCKS-destination mot det begärda värdnamnet och porten, i stället för att anta att DNS-alias och numeriska adresser är likvärdiga.
Ett befintligt SSH-vidarebefordringskonto kan begränsa de destinationspar som dess SOCKS-klienter använder. Ett fragment på serversidan kan tillåta en namngiven tjänst:
Match User proxyuser
PermitOpen api.example.net:443Integrera detta med kontots befintliga autentiserings- och vidarebefordringspolicy. PermitOpen ger inte självt tillstånd till vidarebefordran och inaktiverar inte shell-åtkomst.
OpenSSH jämför de angivna destinationsnamnen utan att göra adressuppslagningar för den jämförelsen. Bortsett från de dokumenterade jokerteckenformerna är värdet inte ett allmänt värdnamnsmönster.
Detta spelar roll för SOCKS5. En klient som skickar api.example.net med port 443 kan matcha det paret. En klient som löser upp samma namn lokalt och skickar en numerisk IP har angett en annan destinationssträng. Ett alias som löser upp till samma adress är också annorlunda.
Håll klientens lokala eller proxybaserade upplösningsläge förenligt med den avsedda regeln. Den efterföljande upplösningen av det tillåtna värdnamnet avgör fortfarande var servern ansluter; den här inställningen är inte ett DNS-medvetet förbud mot varje privat adress.
Gå igenom nyckelspecifika begränsningar och andra tillämpliga serverinställningar vid sidan av detta, eftersom ytterligare förbud mot vidarebefordran fortfarande kan avvisa begäran.