Bloqueia o tunelamento SSH para IP, permite apenas para determinados usuários

Question

Eu preciso configurar o SSH para bloquear todo o acesso a um determinado IP na porta 555. Somente um pequeno grupo de usuários deve ter permissão para fazer o tunelamento para esse IP. Atualmente tenho o seguinte material no meu sshd_config

Match User bob
        PermitOpen 1.2.3.4:555 5.6.7.8:555

A pergunta que tenho é, como eu nego a todos os outros usuários o acesso a este túnel? Eu não vejo uma coisa denyopen, ou restrictopen em sshd_config.

    

Answer 1

Você pode fazer isso com um firewall na caixa SSH:

iptables -A OUTPUT -p tcp -d 1.2.3.4 --dport 555 -m owner --uid-owner bob -j ACCEPT
iptables -A OUTPUT -p tcp -d 1.2.3.4 --dport 555                          -j REJECT

    

Answer 2

Desative o TcpForwarding para todos os usuários por padrão:

AllowTcpForwarding No

E faça uma exceção para o usuário bob :

Match User bob
        AllowTcpForwarding Yes
        PermitOpen 1.2.3.4:555 5.6.7.8:555