SSH yerel bağlantı noktası yönlendirmeyi nasıl devre dışı bırakabilirim?

Ubuntu ve OpenSSH arka plan programı çalıştıran bir sunucum var. Buna S1 diyelim.

Bu sunucuyu, uzak bağlantı noktası yönlendirme kullanarak bir SSH ters tünel yapmak için istemci makinelerden (bunlardan birini C1 diyelim) kullanıyorum, örneğin:

ssh -R 1234:localhost:23 login@S1

S1'de varsayılan sshd_config dosyasını kullanıyorum. Gördüğüm kadarıyla, S1 üzerinde doğru kimlik bilgilerine sahip {login, pwd} olan herkes S1'e giriş yapabilir ve ya uzaktan port yönlendirme ve yerel port yönlendirme yapabilir. Bu tür kimlik bilgileri gelecekte bir sertifika olabilir, bu yüzden sertifikayı alan herkes S1'e başka bir yerden (mutlaka C1 değil) giriş yapabilir ve böylece yerel bağlantı noktası yönlendirmeleri oluşturabilir.

Bana göre, yerel port yönlendirmesine izin vermek çok tehlikeli çünkü bir tür kamu vekili oluşturmaya izin veriyor. Sadece -L iletilerini devre dışı bırakmanın bir yolunu arıyorum.

Aşağıdakileri denedim, ancak bu hem yerel hem de uzaktan yönlendirmeyi devre dışı bırakır:

AllowTcpForwarding No

Ben de aşağıdakileri denedim, bu sadece -L SX izin verir: 1. Hiçbir şeyden daha iyi, ama yine de ihtiyacım olan şey değil, bu bir "hiçbiri" seçeneği.

PermitOpen SX:1

Bu yüzden bir yol olup olmadığını merak ediyorum, böylece tüm yerel liman ileriye gibi bir şey yazmak için yasaklayabilir:

PermitOpen none:none

Aşağıdakiler güzel bir fikir mi?

PermitOpen localhost:1

giriş kimlik bilgilerine sahip herkes rastgele bir bağlantı noktasında çalışarak kendi sshd örneklerini getirebilir ve -L yerel iletimler de dahil olmak üzere istediklerine izin verebilir:

% /usr/sbin/sshd -d -f mysshd.config -p 12345

Kullanıcıların makinenizle ilgili bir şey yapmalarına güvenmiyorsanız, ilk etapta giriş yapmalarına izin vermemelisiniz.

(btw, -D bayrağı bir çeşit "proxy-problemli" dir)

Başka bir çözüm, yalnızca belirli kullanıcılara bağlantı noktası yönlendirmeye izin vermek olacaktır:

SSH'den: Kesin rehber

Port yönlendirme, sshd'de global olarak etkinleştirilebilir veya devre dışı bırakılabilir. Bu, / etc / sshd_config içindeki sunucu geneli AllowTcpForwarding yapılandırma anahtar sözcüğü ile yapılır. Anahtar kelime evet (varsayılan, yönlendirmeyi etkinleştirme) veya hayır (yönlendirmeyi devre dışı bırakma) değerine sahip olabilir:

# SSH1, SSH2, OpenSSH
AllowTcpForwarding no

Ek olarak, SSH2 aşağıdaki seçeneklere sahiptir:

# SSH2 only
AllowTcpForwardingForUsers
AllowTcpForwardingForGroups

Bunların sözdizimi AllowUsers ve AllowGroups seçenekleriyle aynıdır. [Bölüm 5.5.2.1, "Hesap erişim kontrolü"] Bağlantı noktası yönlendirme kullanmasına izin verilen kullanıcı veya grupların bir listesini belirtirler; sunucu, başkası için bağlantı noktası yönlendirme isteklerini yerine getirmeyi reddeder. Bunların, istemci kullanıcı adını değil (çoğunlukla bilinmeyen) SSH oturumunun hedef hesabına atıfta bulunduğunu unutmayın.

...

Etkileşimli girişleri de devre dışı bırakma ve uzak tarafta hangi programların çalıştırılabileceğini kısıtlamadığınız sürece, bu bölümdeki yönergelerin bağlantı noktası yönlendirmeyi gerçekten engellemediğini anlamak önemlidir. Aksi takdirde, bilgili kullanıcılar SSH oturumu üzerinden kendi port yönlendirme uygulamalarını çalıştırabilir. Bu ayarlar tek başına teknik olmayan bir toplulukta yeterli bir caydırıcı olabilir, ancak ne yaptığını bilen birini durdurmazlar.

Artık yalnızca yerel / uzaktan yönlendirmeye izin verme seçeneği var.

AllowTcpForwarding TCP yönlendirmeye izin verilip verilmediğini belirtir. Kullanılabilir seçenekler, TCP yönlendirmeye izin vermek için "evet" veya "tümü", tüm TCP iletmeyi önlemek için "hayır", yalnızca yerel (ssh (1) perspektifinden) yönlendirmeye izin vermek için "yerel" veya uzaktan kumandaya izin vermek için "uzaktan" yalnızca yönlendirme . Varsayılan "evet" tir. TCP iletmeyi devre dışı bırakmanın, kullanıcıların her zaman kendi ileticilerini yükleyebildikleri için kabuk erişimi reddedilmedikçe güvenliği artırmayacağını unutmayın.

Yani, daha önce de belirtildiği gibi, kabuğu da nologin'e ayarlamalısınız.

Bu soruna benim çözüm eklemek oldu: PermitOpen fo.local: 80 sshd_config ana bölümünde .

Bu sadece fo.local: 80 dışında herhangi bir yerel yönlendirme talebini reddeder.

Sadece -L iletilerini devre dışı bırakmanın bir yolunu arıyorum

Sizi doğru anlarsam, kullanıcılarınızın tam kabuk erişimi vardır, ancak ağın geri kalanına doğru bağlantı açmasını istemezsiniz.

SSH'nin izin verdiği "yerel bağlantı noktası yönlendirme", bunu yapmanın olası yollarından sadece biridir. Diğerleri bir örneğini başlatılması içerir socat, netcatveya araçlarından başka bir numara.

Linux'ta giden ve gelen bağlantıları kontrol etmenin en iyi yolu Netfilter, IPTables'dır.

ipt_ownerYerel olarak oluşturulan paketler için paket oluşturucunun çeşitli özelliklerini eşleştirmenizi sağlayan owner ( ) adında özel bir modüle sahiptir . OUTPUTVe POSTROUTINGzincirlerinde geçerlidir .

Belirli kullanıcı grupları tarafından oluşturulan giden paketleri reddetmek için kullanabilirsiniz, böylece yalnızca -LSSH seçeneği değil, her türlü bağlantı noktası yönlendirmesine izin verilmez .