阻止到 IP 的 SSH 隧道，仅允许某些用户

Question

我需要设置 SSH 以阻止对端口 555 上某个 IP 的所有访问。应该只允许一小部分用户通过隧道连接到该 IP。目前我的 sshd_config 中有以下内容

Match User bob
        PermitOpen 1.2.3.4:555 5.6.7.8:555

我的问题是，如何拒绝所有其他用户访问此隧道？我在 sshd_config 中没有看到拒绝打开或限制打开的东西。

Answer 1

默认情况下为所有用户禁用 TcpForwarding：

AllowTcpForwarding No

并为 user 做一个例外bob：

Match User bob
        AllowTcpForwarding Yes
        PermitOpen 1.2.3.4:555 5.6.7.8:555

Answer 2

您可以使用 SSH 盒上的防火墙来实现：

iptables -A OUTPUT -p tcp -d 1.2.3.4 --dport 555 -m owner --uid-owner bob -j ACCEPT
iptables -A OUTPUT -p tcp -d 1.2.3.4 --dport 555                          -j REJECT