Bir SSH proxy hesabı kabuk olmadan çalışabilir

Cazip ayar AllowTcpForwarding no ayarıdır. Ne yazık ki, yerel bir SSH SOCKS proxy'sinin ihtiyaç duyduğu yönlendirmeyi de devre dışı bırakır. Dinamik yönlendirme, sunucu politikasını dolanmanın bir açığı değildir.

Ayrılmış bir hesap için OpenSSH birkaç yeteneği ayırır. Bir politika parçası, kabuk ve alt sistem oturumlarını engellerken yerel yönlendirmeye izin verebilir:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Sunucu kılavuzu MaxSessions 0 ayarını kabuk, oturum açma ve alt sistem oturumlarını engelleyip yönlendirmeye izin veren bir ayar olarak açıklar. Bunu mevcut kimliği doğrulanmış bir hesaba entegre edin; bu eksiksiz bir SSH güvenlik yapılandırması değildir.

Yalnızca yönlendirme, yalnızca SOCKS değildir

Sabit bir yerel yönlendirme ve bir SOCKS isteği sonunda sunucudan aynı türde hedef bağlantısı isteyebilir. Yerel yönlendirmeye izin vermek, istemcinin belirli bir SOCKS arayüzü kullandığını garanti etmez. Hesabı yalnızca SOCKS kullanımını zorunlu kılan bir hesap olarak tanımlamayın.

PermitOpen, belirli bir liste gereksinime uyduğunda hedef ana bilgisayar ve bağlantı noktası çiftlerini sınırlayabilir. Bu, her özel ağ için ana bilgisayar adı çözümlemesini dikkate alan genel bir yasak değildir. Daha geniş adres kısıtlamaları uygun bir ana bilgisayar ağ politikası gerektirebilir.

Hesap, anahtar ve dahil edilen sunucu ayarları yönlendirmeyi daha da kısıtlayabilir. Başka bir yerdeki genel bir yönlendirme yasağı, bu parçanın izin veriyor göründüğü bir yeteneği kaldırabilir.

Kurtarma yolu olan normal sunucu yönetimi prosedürünü kullanın, ardından izin verilen ve reddedilen yetenekleri ayrı ayrı değerlendirin. Amaçlanan sonuç, açık yönlendirme izinleridir; kazara açık bırakılmış etkileşimli bir oturum açma veya kendi kısıtlamasıyla devre dışı kalmış bir proxy değil.