Kullanılabilir olduğunda SSH'nin yerel bir SOCKS dinleyicisi kullanmasına izin verin

OpenSSH Match exec denetimini tek bir hedefle sınırlayın ve başarılı bir yerel bağlantı noktası testinin neyi kanıtladığını, neyi kanıtlamadığını anlayın.

Yerel bir SOCKS dinleyicisi bazı ağlarda yararlıdır, bazılarında ise yoktur. OpenSSH bir proxy komutunu koşullu olarak seçebilir; bu seçim her ana makineye uygulanmak zorunda değildir.

OpenBSD biçimindeki nc ile OpenSSH için örnek bir istemci yapılandırması şöyledir:

Host work-server
    HostName ssh.example.net
    User alex

Match originalhost work-server exec "nc -z -w 1 127.0.0.1 1080"
    ProxyCommand nc -X 5 -x 127.0.0.1:1080 %h %p

Match all

originalhost denetimi SSH komut satırında verilen adla sınırlar. exec komutu başarıyla sona erdiğinde eşleşir. Son Match all, sonraki ayarlar için bu koşullu kapsamı bitirir.

Bu, daha önce geçerli olan hiçbir ayarın çelişkili bir proxy komutu ya da atlama yolu seçmediğini varsayar. SSH genellikle bir seçenek için elde edilen ilk değeri kullanır; bu nedenle üstte yer alan geniş bir varsayılan, sonraki bir koşulun beklenen etkiyi göstermesini engelleyebilir.

Dinleyen bir soket alçakgönüllü bir vaattir

Test, yerel bir bağlantı noktasına TCP erişimini denetler. SOCKS görüşmesini tamamlamaz, istenen hedef bağlantısını kurmaz ve o bağlantı noktasının hangi programa ait olduğunu kanıtlamaz. Dinleyici denetimden sonra kaybolabilir de.

Zaman aşımı, başarısız bir testi sınırlı tutar. Gösterilen seçenekler OpenBSD'nin nc arayüzüne aittir; aynı dosya adını taşıyan başka programlar farklı seçenekler sunabilir.

Koşul eşleşmediğinde bu örnek bağlantıyı bu ProxyCommand olmadan bırakır ve olağan yoluna izin verir. Bu yalnızca doğrudan erişime izin verildiğinde uygundur. Zorunlu bir proxy ilkesi, kullanılabilirlik denetimini başka bir yola kaçma izni olarak kullanmamalıdır.

Hedef SSH ana makine adı ve ana makine anahtarı denetimleri yine de hedef sunucuyu tanımlar. Bir taşıma yardımcısı seçmek, beklenmeyen bir ana makine anahtarını kabul etmek için gerekçe değildir.

İlgili makaleler