PermitOpen kiểm tra tên đích mà ứng dụng khách SOCKS cung cấp

Khớp một đích SSH SOCKS bị giới hạn theo tên máy chủ và cổng được yêu cầu, thay vì giả định rằng bí danh DNS và địa chỉ số là tương đương.

Một tài khoản chuyển tiếp SSH hiện có có thể giới hạn các cặp đích mà ứng dụng khách SOCKS của nó sử dụng. Một đoạn ở phía máy chủ có thể cho phép một dịch vụ có tên:

Match User proxyuser
    PermitOpen api.example.net:443

Tích hợp điều này với chính sách xác thực và chuyển tiếp hiện có của tài khoản. PermitOpen tự nó không cấp quyền chuyển tiếp và không tắt quyền truy cập shell.

OpenSSH so sánh các tên đích được cung cấp mà không thực hiện tra cứu địa chỉ cho việc so sánh đó. Ngoại trừ các dạng wildcard đã được ghi tài liệu, giá trị này không phải là một mẫu tên máy chủ chung.

Điều này quan trọng với SOCKS5. Ứng dụng khách gửi api.example.net với cổng 443 có thể khớp cặp đó. Ứng dụng khách phân giải cùng tên đó cục bộ và gửi địa chỉ IP dạng số đã cung cấp một chuỗi đích khác. Một bí danh phân giải tới cùng địa chỉ cũng khác.

Giữ chế độ phân giải cục bộ hay qua proxy của ứng dụng khách nhất quán với quy tắc dự định. Việc phân giải sau đó tên máy chủ được phép vẫn quyết định nơi máy chủ kết nối; thiết lập này không phải là lệnh cấm nhận biết DNS đối với mọi địa chỉ riêng tư.

Xem lại các hạn chế riêng cho từng khóa và các thiết lập máy chủ khác có thể áp dụng cùng với điều này, vì bất kỳ lệnh cấm chuyển tiếp bổ sung nào vẫn có thể từ chối yêu cầu.

Bài viết liên quan