Dotaz: zamedzit pristup k ssh pre konkretneho uzivatela

[Tomb]

Mam jednoduchu otazku na ktoru ale nikde nemozem najst odpoved.

Potrebujem povolit pristup pre ssh k urcitemu uzivatelovy ktory ma bash len z urcitej IP adresy alebo siete napriklad 192.168.0.0./24

Pristup k ssh pre ostatnych uzivatelov musi zostat bez akychkolvek obmedzeni cize nemozem to jednoducho zamedzit pomocou iptables kedze je to viazane len na konkretneho uzivatela.

Za radu vopred dakujem

Odpovědi

[Petr Šobáň]

Co použít hosts.allow a hosts.deny.

Viz: man man hosts.allov man hosts.deny

[l4m4]

Viz sshd_config(5) -- co jiného, že -- a zde AllowUsers/DenyUsers.

[Semo]

Bud si rozbehnes 2 ssh servery na roznych portoch. V jednom bude ten user uvedeny v DenyUsers.

Alebo zavedies prihlasovanie iba klucmi a tomu userovi spravis subor ~/.ssh/authorized_keys tak, aby ho nemohol menit ani zmazat, vygenerujes mu kluce a tomu klucu nastavis "from=192.168.0.0./24" (man sshd)

Alebo DenyUsers ako ti radili vyssie. (man sshd_config)

[Ash]

tomu userovi spravis subor ~/.ssh/authorized_keys tak, aby ho nemohol menit ani zmazat

Tak tento neřešitelný úkol bych chtěl vidět v praxi

[Semo]

chown root:root ~user/.ssh{,authorized_keys}
chmod 644 ~user/.ssh{,authorized_keys}

Este nieco?

Ak mu chcem dat extra volnost, tak mu tam vytvorim prazdny subor config, do ktoreho moze zapisovat.

[Ash]

bash# ls -ld /home/ash
drwx------ 94 user users 2320 Sep 19 00:00 /home/user

mv ~user/.ssh{,rootsucks}
mkdir ~user/.ssh && cat ~/user/whatever > ~user/.ssh/authorized_keys

Pak ještě ssh je často nastaveno tak, aby ~/.ssh patřilo danému uživateli, což byste musel přenastavit. Ale jak říkám, nemá to cenu, domovský adresář uživatele patří uživateli, ne rootovi ;)

[Ash]

Mám tam jedno lomítko navíc a vám tam zase dvě chybí, ale princip je myslím jasný.

[Semo]

Ehm. Som sa sustredil na to, aby nesiel zmazat, ale na presunutie som nemyslel.

[Ash]

Ano, smazat ten adresář nešel jen díky existenci souboru authorized_keys který v něm byl, což je samo o sobě takové ujeté řešení. Mimo to adresářům se dává 755, ale to na principu nic nemění, každopádně bejt rootem tak v půl druhé ráno je lepší už nic nehákovat, protože uživatel nikdy nespí :)

[petr_p]

pam_access. Jen to má problém, že neumí rozlišovat služby (např. sshd od imap). Ale to se dá obejít použitím zvláštního konfiguráku pro PAM službu sshd, pokud mu zároveň potřebujete neomezit jiné služby.

[Tomb]

Dakujem Vam vsetkym za rady,

moj problem som nakoniec vyriesil pomocou hosts.allow a hosts.deny

Dakujem este raz Vam vsetkym za ochotu, toto forum ma este nikdy nesklamalo