Một tài khoản proxy SSH có thể hoạt động mà không cần shell

Giữ chuyển tiếp SSH khả dụng trong khi tắt các phiên shell và hiểu giới hạn của việc chỉ áp đặt SOCKS.

Cấu hình hấp dẫn là AllowTcpForwarding no. Thật không may, nó cũng tắt chuyển tiếp mà một proxy SSH SOCKS cục bộ cần. Chuyển tiếp động không phải là lỗ hổng để lách chính sách của máy chủ.

Đối với một tài khoản chuyên dụng, OpenSSH tách biệt nhiều khả năng. Một đoạn chính sách có thể cho phép chuyển tiếp cục bộ trong khi ngăn các phiên shell và hệ thống con:

Match User proxyuser
    AllowTcpForwarding local
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

Hướng dẫn máy chủ mô tả MaxSessions 0 là cấu hình ngăn các phiên shell, đăng nhập và hệ thống con trong khi cho phép chuyển tiếp. Hãy tích hợp nó vào một tài khoản đã xác thực sẵn có; đây không phải là cấu hình bảo mật SSH đầy đủ.

Chỉ chuyển tiếp không phải là chỉ SOCKS

Một chuyển tiếp cục bộ cố định và một yêu cầu SOCKS cuối cùng có thể yêu cầu máy chủ cùng loại kết nối đích. Cho phép chuyển tiếp cục bộ không bảo đảm rằng máy khách đã dùng một giao diện SOCKS cụ thể. Đừng mô tả tài khoản là bên áp đặt việc chỉ dùng SOCKS.

PermitOpen có thể hạn chế các cặp máy chủ và cổng đích khi một danh sách cụ thể phù hợp với yêu cầu. Đây không phải là lệnh cấm chung có tính đến việc phân giải tên máy chủ cho mọi mạng riêng. Các hạn chế địa chỉ rộng hơn có thể cần một chính sách mạng máy chủ phù hợp.

Cấu hình tài khoản, khóa và máy chủ được bao gồm có thể hạn chế thêm việc chuyển tiếp. Một lệnh cấm chuyển tiếp toàn diện ở nơi khác có thể loại bỏ khả năng mà đoạn này dường như cho phép.

Hãy dùng quy trình quản trị máy chủ thông thường với một đường khôi phục, sau đó đánh giá riêng các khả năng được cho phép và bị từ chối. Kết quả mong muốn là các quyền chuyển tiếp rõ ràng, không phải một đăng nhập tương tác bị bỏ ngỏ do vô tình hay một proxy bị tắt bởi chính hạn chế của nó.

Bài viết liên quan