Ang SSH proxy account ay maaaring gumana nang walang shell

Panatilihing magagamit ang pagpapasa ng SSH habang pinapatay ang mga sesyon ng shell at unawain ang mga limitasyon ng pagpapatupad ng SOCKS lamang.

Ang nakakaakit na setting ay AllowTcpForwarding no. Sa kasamaang palad, pinapatay rin nito ang pagpapasa na kailangan ng lokal na SSH SOCKS proxy. Ang dinamikong pagpapasa ay hindi butas sa patakaran ng server.

Para sa isang nakatalagang account, hinihiwalay ng OpenSSH ang ilang kakayahan. Maaaring payagan ng isang bahagi ng patakaran ang lokal na pagpapasa habang hinaharang ang mga sesyon ng shell at subsystem:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Inilalarawan ng manwal ng server ang MaxSessions 0 bilang setting na humaharang sa mga sesyon ng shell, pag-login at subsystem habang pinapayagan ang pagpapasa. Isama ito sa umiiral nang napatunayang account; hindi ito kumpletong configuration ng seguridad ng SSH.

Pagpapasa lamang ay hindi SOCKS lamang

Ang nakapirming lokal na pagpapasa at isang kahilingang SOCKS sa huli ay maaaring humiling sa server ng parehong uri ng koneksyon sa destinasyon. Ang pagpayag sa lokal na pagpapasa ay hindi ginagarantiyang gumamit ang kliyente ng partikular na interface ng SOCKS. Huwag ilarawan ang account bilang nagpapatupad ng paggamit ng SOCKS lamang.

Maaaring limitahan ng PermitOpen ang mga pares ng host at port ng destinasyon kapag tumutugma ang isang partikular na listahan sa pangangailangan. Ito ay hindi pangkalahatang pagbabawal na may kamalayan sa resolusyon ng hostname sa bawat pribadong network. Ang mas malawak na paghihigpit sa address ay maaaring mangailangan ng angkop na patakaran ng network ng host.

Ang mga setting ng account, key at kasamang server ay maaaring higit pang maglimita sa pagpapasa. Ang isang malawakang pagbabawal sa pagpapasa sa ibang lugar ay maaaring mag-alis ng kakayahang tila pinapayagan ng bahaging ito.

Gamitin ang karaniwang pamamaraan ng pangangasiwa ng server na may daan sa pagbawi, pagkatapos ay hiwalay na suriin ang pinapayagan at tinatanggihang kakayahan. Ang inaasahang resulta ay malinaw na mga pahintulot sa pagpapasa, hindi isang interactive na pag-login na aksidenteng naiwang bukas o isang proxy na pinatay ng sarili nitong paghihigpit.

Kaugnay na mga artikulo