SSH 로컬 포트 ​​전달을 비활성화하는 방법?

Ubuntu 및 OpenSSH 데몬을 실행하는 서버가 있습니다. S1이라고합시다.

클라이언트 컴퓨터 (이 중 하나를 C1이라고 함) 에서이 서버를 사용하여 원격 포트 전달을 사용하여 SSH 역 터널을 수행하십시오.

ssh -R 1234:localhost:23 login@S1

S1에서는 기본 sshd_config 파일을 사용합니다. 내가 볼 수 있듯이 S1에서 올바른 자격 증명 {login, pwd}을 가진 사람은 누구나 S1에 로그인하여 원격 포트 전달 및 로컬 포트 ​​전달을 수행 할 수 있습니다 . 이러한 자격 증명은 나중에 인증서가 될 수 있으므로 인증서를 잡는 사람은 다른 곳에서 (C1은 아님) S1에 로그인하여 로컬 포트 ​​전달을 만들 수 있다는 것을 이해합니다.

나에게 로컬 포트 ​​전달을 허용하는 것은 일종의 공개 프록시를 만들 수 있기 때문에 너무 위험합니다. -L 전달 만 비활성화하는 방법을 찾고 있습니다.

다음을 시도했지만 로컬 및 원격 전달을 모두 비활성화합니다.

AllowTcpForwarding No

나는 또한 다음을 시도했는데, 이것은 -L에서 SX : 1 만 허용합니다. 아무것도 아닌 것보다는 낫지 만 여전히 "필요한"옵션은 아닙니다.

PermitOpen SX:1

그래서 방법이 있는지 궁금해서 모든 로컬 포트 ​​전달이 다음과 같은 것을 작성하는 것을 금지 할 수 있습니다.

PermitOpen none:none

다음은 좋은 생각입니까?

PermitOpen localhost:1

로그인 자격 증명을 가진 사람은 임의의 포트에서 실행되는 -s 로컬 전달을 포함하여 자신의 sshd 인스턴스를 가져올 수 있습니다.

% /usr/sbin/sshd -d -f mysshd.config -p 12345

사용자가 컴퓨터로 무언가를 할 것을 믿지 않으면 처음 로그인을 허용해서는 안됩니다.

(btw, -D 플래그는 일종의 "프록시 문제"입니다)

또 다른 해결책은 특정 사용자에게만 포트 전달을 허용하는 것입니다.

SSH에서 : 확실한 안내서

sshd에서 포트 전달을 전체적으로 활성화하거나 비활성화 할 수 있습니다. 이것은 / etc / sshd_config의 서버 전체 구성 키워드 AllowTcpForwarding으로 수행됩니다. 키워드의 값은 yes (기본값, 전달 사용) 또는 no (전달 사용 안함) 일 수 있습니다.

# SSH1, SSH2, OpenSSH
AllowTcpForwarding no

또한 SSH2에는 다음과 같은 옵션이 있습니다.

# SSH2 only
AllowTcpForwardingForUsers
AllowTcpForwardingForGroups

이 구문은 AllowUsers 및 AllowGroups 옵션과 동일합니다. [5.5.2.1 절. "계정 액세스 제어"] 포트 전달을 사용할 수있는 사용자 또는 그룹 목록을 지정합니다. 서버는 다른 사람의 포트 전달 요청을 존중하지 않습니다. 이것들은 클라이언트 사용자 이름이 아닌 SSH 세션의 대상 계정을 나타냅니다 (주로 알려지지 않음).

...

대화식 로그인을 비활성화하고 원격 쪽에서 실행할 수있는 프로그램을 제한하지 않는 한이 섹션의 지시문이 실제로 포트 전달을 막지 못한다는 것을 알아야합니다. 그렇지 않으면, 지식이 풍부한 사용자는 SSH 세션을 통해 자신의 포트 전달 응용 프로그램을 실행할 수 있습니다. 이러한 설정만으로는 비 기술적 인 커뮤니티에서 충분한 억제책이 될 수 있지만 자신이하는 일을 아는 사람을 막지는 못할 것입니다.

이제 로컬 / 원격 전달 만 허용하는 옵션이 있습니다.

AllowTcpForwarding TCP 전달이 허용되는지 여부를 지정합니다. 사용 가능한 옵션은 TCP 전달을 허용하는“yes”또는“all”, 모든 TCP 전달을 방지하는“no”, 로컬 (ssh (1)의 관점에서) 전달만을 허용하는“local”또는 원격을 허용하는“remote”입니다. 전달 만 . 기본값은“예”입니다. TCP 전달을 비활성화하면 사용자가 항상 자신의 전달자를 설치할 수 있으므로 셸 액세스가 거부되지 않는 한 보안이 향상되지 않습니다.

따라서 이미 언급했듯이 셸도 nologin으로 설정해야합니다.

이 문제에 대한 나의 해결책 은 sshd_config의 메인 섹션에 PermitOpen fo.local : 80 을 추가하는 것이었다 .

이는 fo.local : 80 외에 로컬 포워딩 요청을 거부합니다.

나는 -L 전달 만 할 수있는 방법을 찾고 있습니다.

내가 당신을 올바르게 이해한다면, 사용자는 완전한 쉘 액세스 권한을 가지지 만 나머지 네트워크를 향한 연결을 열 수는 원하지 않습니다.

SSH에서 허용하는 "로컬 포트 ​​전달"은 가능한 방법 중 하나 일뿐입니다. 다른 사람의 인스턴스 실행을 포함 socat, netcat또는 도구의 다른 수를.

Linux에서 나가고 들어오는 연결을 제어하는 ​​가장 좋은 방법은 IPTables라고하는 Netfilter입니다.

소유자 ( ipt_owner) 라는 특수 모듈이있어 로컬로 생성 된 패킷에 대해 패킷 작성자의 다양한 특성을 일치시킬 수 있습니다. OUTPUT및 POSTROUTING체인 에서 유효합니다 .

특정 사용자 그룹이 생성 한 발신 패킷을 거부하는 데 사용할 수 있으므로 -LSSH 옵션 뿐만 아니라 모든 종류의 포트 전달이 허용되지 않습니다 .