Dotaz: remote pripojenie na linux s obmedzeniami na pouzivane aplikacie

[adrinko]

Zdravim,

mate niekto napad, ako by sa dalo spravit toto: Potrebujem, aby sa v mojej LANke mohli urciti uzivatelia pripojit na pc s Linuxom vzdialene (toto pc je v LAN) a zaroven budu mat dostupnu na tejto masine len jednu aplikaciu, s ktorou mozu pracovat. Zaroven konkretny uzivatel prihlaseny na tento linuxovy stroj musi s danou aplikaciou pristupovat len na pevne dane IP adresy smerom von a nemoze vidiet ziadne pocitace vo vnutornej LAN.

Potreboval by som vasu radu v otazkach (len pripominam, ze som linux lama): 1. aku distribuciu linuxu na toto pouzit? 2. ako povolit vzdialene pripojenie urcitych userov? 3. akym pravidlom zakazat uplne vsetky aplikacie na tej linuxovej masine a povolit len jednu konkretnu? 4. ako zakazat vsetky moznosti prehliadania toho linuxoveho stroja a jeho prostriedkov? (myslim tym, aby user jedine co mohol robit na tej masine je prihlasit/odhlasit sa, a otvorit aplikaciu a zaroven nemohol otvarat lokalne disky, prikazovy riadok, menit nastavenia, no proste nic s tou masinou robit) 5. ako nastavit pravidla pre konkretneho usera tak, aby mohol pristupovat len na pevne zadane IP adresy z tej linuxovej masiny prostrednictvom tej konkretnej aplikacie?

viem, ze je toho dost, ale snad sa najde nejaky ochotny linux guru na pomoc :)

dakujem vopred

Odpovědi

[Jack Hokus]

Dobry den,

omlouvam se za to, ze neodpovidam primo na Vas dotaz, ale polozil jste jej tak, ze je tezke nejen najit odpoved, ale dokonce pochopit na co se ptate.

Ramcove lze rict, dejte do te site PC, nebo virtualni stroj na nemz pobezi ta konkretni aplikace a uzivatele budou chodit jen na ten stroj a nikam jinam. Ostatni zalezi na konkretnih potrebach.

Zkuste proste napsat co potrebujete udelat, mam na mysli neco jako "..potrebuju postavit domaci sit ze 4 pc se spolecnym souborovym serverem a moznosti pripojit se k domacimu serveru z kancelare..."

Urcite se Vam ozve par lidi, kteri neco podobneho resili a z jejich navrhu si budete moct vybrat ten, jenz bude nejlepe odpovidat Vasim potrebam a hlavne zkusenostem.

S pozdravem JH

[NN]

Mohla by se ta aplikace spoustet pres webove rozhrani, s prihlasenim nebo bez a IP osetris na urovni iptables...

Muzes napsat o co vlastne jde?

NN

[ZdenekPetron]

Co to pro vás znamená "připojit se na pc z Linuxem"? SSH přihlášení na terminál? WWW přihlášení? Něco jiného? Je ta aplikace a seznam adres stejná pro všechny, nebo různá pro ruzné uživatele? Pro terminálové přihlášení to mužeš udělat, tak že do login skiptu uživatele dáš volání té aplikace a pak logout. Tím pádem po přihlášení mu najede aplikace a po odhlášení z aplikace jej to odloguje. iptables jde nastavit tak, aby omezilo přistup na adresy, ale to je řešení na úrovni celého systému ne jednotlivých uživatelů. Jen mi není jasné proč to dělat nebo proč to děláš ty. Pokud je to řešení pro systém z vysokou bezpečností, není možné to dělat amatérsky, a pro domácí použití nerozumím, proč přístup lidem omezovat.

[pht]

1. asi je to jedno, na tom záleží nejméně ze všeho, 2. jde to určitě nastavit ve službě kterou použijete na připojení, 3 a 4 vyžaduje složitější nastavování, do jisté míry to lze kompenzovat nedostupností ikonek atd., 5. pokud stačí přístup jen na jednu ip adresu z libovolné aplikace, tak to je docela jednoduché přes firewall (iptables), pokud chcete nabeton povolit pouze tu aplikaci, tak viz 3 a 4 - jde to, ale ne "na dvě kliknutí"

[adrinko]

ahojte, dakujem za vas zaujem o moj problem. sorry za zmatocne vysvetlenie, skusim to priblizit. Predstavoval som si to cele tak, ze hocijaky uzivatel by sa prihlasil na ten LinuxPC (nazvime ho tak pre lepsiu orientaciu), tam by sa mu zobrazila obrazovka v style vzdialenej plochy ako na WIN a na nej by si mohol potom spustit len jediny program (povedzme browser, alebo podobny soft), a zaroven tomu konkretnemu userovi by to malo povolit pristup len na povedzme 2-3 IP adresy z toho spusteneho programu (a zase inemu userovi na inych par adries).

NN -> Ci by sa mohla spustat cez webrozhranie, hm, to fakt neviem, ci sa da hocijaka aplikacia nastavit tak, aby ju to mohlo "generovat" do webrozhrania, ale pre userovi by toto bolo asi najlahsie, keby si len otvorili IP toho LinuxPC a ovladali aplikaciu cez prehliadac. No neviem, ci sa to da spravit.

Velka vdaka za vase reakcie.

[dustin]

Spuštění jen jedné aplikace lze řešit nastavením xsession pro každého uživatele, princip např. http://ze.phyr.us/en/blog/post/kiosk-mode-in-linux . Jako login manager by měl stačit i klasický XDM. Když aplikaci v xsession ukončíš, skočí to zpět do přihlášení v login manageru. Můžeš dát firefox do smyčky a bude se stále restartovat (pak se ale nepůjde snadno odhlásit).

Povolené IP adresy - viz man iptables - modul owner, parametr --uid-owner

[pht]

Vzdálená plocha v okně na mé ploše je smýšlení windows světa. V UNIX světě se prostě na mojí ploše objeví okno vzdáleného programu. Tím se řeší i Váš problém. Jelikož se nespouští nic jiného než ten program, tak uživatel nemůže dělat víc než mu ten program dovolí. Připojení tohoto stylu z UNIXu/Linuxu je nativní, z windowsů je třeba použít kombinaci programů putty a xming.

[vencour]

Co pamatuju, tak se něco takového řeší pod označením kiosek, snad pomůže?