让 SSH 服务器转发每个用户的连接

Question

有没有办法强制 OpenSSH（或创建某种代理）仅通过他（或她）提供的用户名将一个用户转发到一台机器，将另一个用户转发到另一台机器？

我遇到以下问题：我要在 Docker 容器中运行 GitLab，同时在主机上运行 SSH 服务器。GitLab 监听 SSH 连接，但它只对“git”用户通过 SSH 密钥区分客户端感兴趣。所以我想创建的设置是以下之一：

1. 主机上端口 22 上的代理，当提供的用户是“git”时，将整个会话转发到 Docker Gitlab，或者当用户名是时转发到主机 SSH（可能会监听另一个端口，重要的是客户端不知道这一点）不同的。
2. 主机 SSH 在内部处理除“git”之外的每个用户，并在用户名是“git”时将会话转发到 Docker 容器。

需要明确的是：Docker 容器运行一个网桥，并且可以通过不同于主机 IP 的唯一 IP 地址从主机访问它。

StackOverflow 上也提出了类似的问题（/sf/ask/595381181/），但没有答案可以解决该问题 - 最有帮助的是建议自定义 shell，但我发现没有办法创建类似的东西。

Answer 1

SSH TCP 端口隧道由 ssh 客户端配置。在服务器上，您只能限制使用permitopen=host:portauthorized_keys中的隧道配置。

重定向流量的另一种方法是将 Netfilter/iptables 与-m owner --uid-owner $UIDDNAT 目标结合使用。