PermitOpen перевіряє ім'я призначення, яке надає клієнт SOCKS

Зіставляйте обмежене призначення SSH SOCKS за запитаним іменем хоста та портом, а не вважайте псевдоніми DNS і числові адреси рівнозначними.

Наявний обліковий запис переспрямування SSH може обмежувати пари призначень, які використовують його клієнти SOCKS. Фрагмент на боці сервера може дозволити одну іменовану службу:

Match User proxyuser
    PermitOpen api.example.net:443

Долучіть це до наявної політики автентифікації та переспрямування облікового запису. PermitOpen сам не надає дозволу на переспрямування й не вимикає доступ до shell.

OpenSSH порівнює надані імена призначень, не виконуючи для цього пошуку адрес. Крім задокументованих форм із шаблонами, значення не є загальним шаблоном імені хоста.

Це важливо для SOCKS5. Клієнт, який надсилає api.example.net з портом 443, може відповідати цій парі. Клієнт, який розв'язує те саме ім'я локально й надсилає числову IP-адресу, надав інший рядок призначення. Псевдонім, що розв'язується в ту саму адресу, теж інший.

Тримайте режим локального або проксі-розв'язання клієнта узгодженим із задуманим правилом. Подальше розв'язання дозволеного імені хоста все ще визначає, куди підключається сервер; це налаштування не є DNS-обізнаною забороною для кожної приватної адреси.

Перегляньте разом із цим обмеження для конкретних ключів та інші застосовні налаштування сервера, адже будь-яка додаткова заборона переспрямування все одно може відхилити запит.

Схожі статті