Dotaz: Nastavení SSH

[Doležal]

Ahoj, prosím o radu. Potřebuji nastavit pro SSH jednoho uživatele se jmenem "jirka" aby se mohl přihlásit jenom z jedne IP adresy. Jinak všichni uzivatele vcetne root zakazat uplne veskere prihlaseni, proste vsichni odevsad zakazat..

Děkuji za pomoc

---

---

Odpovědi

[Šangala]

Pro základ něco jako:

Protocol 2
PermitRootLogin no
AllowUsers jirka@192.168.1.99

v /etc/ssh/sshd_config.

[Doležal]

Eh, díky za info, předpokládím, že je potřeba po upravě konfiguracniho souboru neco restartovat ale nevím co. Je to: /etc/init.d/ssh restart ? Nebo neco jineho? Dekuji

[Kubrt]

Spíše /etc/init.d/sshd restart na OpenSuse rcsshd restart

[Doležal]

Tak jsem otevrel soubor /etc/ssh/sshd_config

Protocol 2 //tato položka tam byla stejna, nic jsem nedelal

PermitRootLogin no //tuto polozku jsem zmenil na no, bylo tam yes

AllowUsers ja@mojeipadresa //toto jsem vložil na konec radku

Restartoval jsem SSH server a vysledek? Nemuzu se prihlasit ani jako uzivatel ja ani jako uzivatel root

Tak že jsem v prdeli a nevím co ted.. :(

[pepe_]

Mne to funguje presne jak ma podle tohoto navodu.

asi mas spatnou ip , vyzkousej jen :

AllowUsers ja 

misto 
AllowUsers ja@mojeipadresa

[Doležal]

nevyzkousim uz nic, nedostanu se na server :(

[Jendа]

Hmm, uříznout si pod sebou větev, to je zlé. Dostaneš se k serveru na konzoli?

Pro příště:

• minimálně v Debianu jde udělat /etc/init.d/ssh reload, které načte novou konfiguraci, ale neuřízne stávající spojení
• hodí se spustit si druhou instanci SSH serveru (nebo třeba dropbear) na jiném portu

[Šangala]

Nedávno jsem si s tím hrál na OpenSuse vzdáleně na živo (a pro jistotu jsem měl 2. sshd server na jiném portu s jiným nastavením a na ten port otevřeným Firewall-em).
Nicméně mě překvapilo, že restart mě neuřízl aktivní spojení, stále fungovalo.

[Michal Kubeček]

Ano, přinejmenším v OpenSuSE inicializační skript při restartu shodí pouze tu hlavní instanci a instance zajišťující jednotlivá v tu chvíli navázaná spojení nechá dál běžet.

[Šangala]

Nedíval jsem se do něj ale asi to tak bude ... dobré vědět, ALE! nepočítat s tím :)

[moira]

V Gentoo totéž, přesto při hrabání se v konfiguráku SSH na vzdáleném stroji jsem jak na trní.

[Sten]

restart neuřízne spojení ani v Debianu. Je to nezbytné, protože poinstalační skripty provádějí automatický restart služeb (kvůli aplikaci bezpečnostních záplat), ale jejich instalace může být z SSH.

[Michal Kubeček]

Druhá varianta pojistky je skriptík, který se přes at spustí třeba za čtvrt hodiny, vrátí původní konfiguraci a restartuje démona.

[vencour]

Nezkusil jsem následující, ale zkoušel bych ...

Mít zálohovanou konfiguraci potřebného démona někde na disku, nastavit sleep třeba na 15 minut, až sleep vyprší, zkopíruje zvolenou konfiguraci démona na místo a restartuje službu. Tj. pokud se neuříznu, zkopírování zastavim ručně. Pokud se uříznu, za 15 minut se mi služba restartuje do dřívějšího nastavení a můžu to zkusit znova. Tj. kdo zná Cisco a "reload in Xminutes", tak tomu taková konstrukce je asi známá.

Samozřejmě to pouštět ve screenu.

Nemáte k danému postupu připomínky nebo zlepšení?

[Jendа]

at je lepší, protože funguje i po restartu.

[Doležal]

no to jsem prave mel s tim ze kdyz to neklapne tak to opravim jelikoz budu porad prihlaseny, jenze jsem nedal reload ale restart coz me samozrejme sestrelilo

[Michal Kubeček]

Podle příspěvků z diskuse to tak úplně samozřejmé není - přinejmenším ve třech distribucích ani restart SSH neshodí již navázaná spojení.

[ondro]

jasne, ze sa neprihlasis ako root, lebo si si to zakazal parametrom PermitRootLogin no.

Zvolil si si zly postup a nenechal si ziadnu zaloznu moznost pripojenia.

uzivatel sangala ti poradil podla tvoje poziadavky, len to nastavenie malo jedno riziko a to, ze ak to nastavenie pre uzivatela jirku zle nastavis, tak sa na uz na server cez ssh neprihlasis.

Problem bude v tej ip adrese, predpokladam, ze ta verejna ip adresa nieje staticka a ta verejna ip adresa sa meni alebo je tam iny zadrhel vdaka ktoremu tie adresy nesedia.

[oldsam]

Napada me, jestli mezi Vami a serverem neni nejaky NAT? A v konfigu mate lokalni IP...

[Doležal]

v konfiguraci mam verejnou ip adresu, opsal jsem ji z mojeip.cz a navis jsem zkousel prihlaseni pres ssh a tam je pri prihlaseni posledni pristup z jake ip adresy se logovalo na server pres ssh a tuto adresu jsem mel v konfiguraci.. tak nechapu co jsem mel spatne.. :(

[Michal Kubeček]

Těžko říct, např. u některých připojení není adresa, na kterou se maškaráduje, pořád stejná. V každém případě jste získal cenné poučení: věci, se kterými nemáte zkušenosti, v konfiguraci SSH (nebo třeba IPsec či netfilteru) je potřeba nejdřív vyzkoušet na stroji, na který se dostanete i jinak, a pak teprve na vzdáleném serveru.

[Šangala]

Tak to sorry, jen jsem odpověděl na dotaz, nenapadlo mě rozvíjet důsledky špatného nastavení a bohužel jste nenapsal, že je to jediný Váš přístup na počítač, takže mě nenapadlo Vás varovat.
//toto jsem vložil na konec radku - myslíte na konec souboru…
Prostě fčul se přihlásí jen a pouze ja@mojeipadresa (s takovou mojeipadresa, jaka se k serveru dostane, nevím v jaké síti jste a kudy jdete…).

[Doležal]

Omlouvat se nemate v zadnem pripade za co. Postup ktery jste uvedl byl urcite v poradku, na lokale to fungovalo taky v poradku, testoval jsem to nez jsem to flakl naostro ;) Samozrejme jsem pouzil lokalni ip adresy a tam me teda ani pri restartu ssh debian nesestrelil ale i tak jsem nechal radeji spustene 2 konzole.

[Jary]

Myslím, že omezovat to IP adresou je prostě šaškárna. Vygenreuj si klíče podle návodua přihlašuj se pomocí klíče. Můžeš pak zakázat password login pro všechny a bude to běhat přez klíč.

[Mercuriuz]

+1

[Doležal]

To je sice rada k zamysleni, jenze je tam zase jedno "ale". Neprihlasim se na to z HTC-cka :(

[camel1cz]

No pokud je nutná ta restrikce na konkrétní uživatele, zkusil bych restrikce přes pam moduly - viz. obsah /etc/security/ - konkrétně access.conf

Nicméně ten zápis v sshd.conf je také správný - i když by mě ani nenapadlo ho tam hledat

Každopádně přeji příjemný výlet do serverovny

[Chytrex]

No nevím jak HTC.. ale moje treo 680 nemá s klíči žádný problém:)

[moira]

Jinak co je to za stroj, není tam možnost nějakého přístupu přes KVM?