Ваш пароль SSH — це не пароль SOCKS

Ви ввели пароль, щоб запустити ssh -D. Він автентифікував ваше SSH-з'єднання. Але він не створив захищений паролем обліковий запис SOCKS для кожної програми, яка може досягти нового прослуховувача.

Динамічне перенаправлення OpenSSH надає локальну службу SOCKS через автентифікований транспорт SSH. Його обробка SOCKS5 обирає метод без автентифікації; це не загальний сервер SOCKS з іменем користувача та паролем.

Для особистого використання прив'яжіть локально:

ssh -N -D 127.0.0.1:1080 [email protected]

Програми на тому комп'ютері використовують порт 1080, не вводячи ваш пароль SSH як пароль SOCKS. Документація з динамічного перенаправлення описує прослуховувач, а вихідний код обробки SOCKS в OpenSSH дає подробиці автентифікації.

Спільне використання змінює проблему

Прив'язка до адреси LAN робить порт доступним за межами початкового локального використання. Сусідні клієнти не встановлюють окремі сеанси SSH лише тому, що їхній трафік іде через ваш. Якщо мережа дозволяє доступ, ці клієнти можуть ділити зовнішню ідентичність вашого шлюзу.

Брандмауер може обмежити доступних клієнтів, але не додає обміну входом SOCKS. Для окремих імен користувачів SOCKS, квот або правил для кожного користувача обирайте сервер, що підтримує ці функції. Наприклад, Dante документує автентифікацію SOCKS окремо від обмежень адрес клієнтів.

Це також допомагає в усуненні несправностей. Клієнт, який наполягає на методі імені користувача та пароля SOCKS, може не домовлятися з цим прослуховувачем так, як ви очікуєте. Налаштуйте програму або оберіть відповідну автентифіковану службу SOCKS; повторні спроби вашого пароля SSH стосуються неправильного входу.

Доступність лише локально — це все ще межа, яку треба розуміти, а не твердження, що кожен процес на локальному комп'ютері належить одному й тому ж користувачеві.