Dotaz: 2 ssh instance

[Jan]

Zdar, jak co nejjednodussim zpusobem spustit 2 instanci sshd? ubuntu 10.10

dikes

---

---

Odpovědi

[l4m4]

Uděláš mu jiný sshd_config, který by se měl lišit přinejmenším v Port/ListenAddress a PIDFile, a spustíš sshd -f ten_nový_config.

Otázka je, proč chceš spustit druhou instanci.

[Jan]

Dik, je to kvuli prehlednosti a dale moznost 2 a vice nezavislych sshd

[lertimir]

A jakou situaci ti 2 sshd vyřeši a jen jedna instance by ji nevyřešila?

[branchman]

Ak je druha instancia pustena len docasne, tak riesi napr. problem pri nastavovani IPtables na porte 22 a zaroven umoznuje nove IPtables testovat.

[Jan]

Pod tou druhou instanci chci nechat bezet sshd, ktere bude chrootnuty.

No a nevedel jsem jestli postup, kterej se pokusim popsat je ok, popr. existuje nejake [jine, lepsi, vyhodnejsi, bezpecnejsi] reseni, nebo mi tam neco nechybi:

===================================================
cp -p /etc/init.d/ssh /etc/init.d/ssh2

cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config2

v /sbin/rc2.d udelat symlink na /etc/init.d/ssh2 a poustet ho pres init skripty.

/etc/init.d/sshd2 nastavit tak, aby pouzil konfiguraci z /etc/ssh/sshd_config2

/etc/ssh/sshd_config2 upravit tak, aby poustel sshd na portu napr. 1234 + dalsi upravy, aby tohle sshd bylo chrootnuty
===================================================

To je asi vse. Jenom nevim, jestli v /etc/init.d/ssh2 musim tsky neco upravit Dik

[l4m4]

Pokud to budeš chrootovat, tak určitě chybí host keys (naopak můžeš nechat stejný PIDFile). Musíš je buď převzít (což nemusí být OK, pokud je druhý sshd na jiné úrovni bezpečnosti), nebo vygenerovat jiné (což s velkou nelibostí ponesou klienti). Někdy je přímo generuje přímo init script, když zjistí, že žádné nejsou (nevím, jak to dělá Ubuntu). Každopádně na ně pozor.

[Filip Jirsák]

Nenapadá mne, k čemu by druhé sshd v chrootu bylo dobré – pokud by byla chyba v sshd, která by se projevila ještě před přihlášením, bude možné systém stejně napadnout přes nechrootnuté sshd. Pokud chcete udělat chroot pro nějakého přihlášeného uživatele, použijte konfigurační volbu ChrootDirectory. Chybu v sshd mezi přihlášením a chrootem považuji za velmi málo pravděpodobnou, mnohem víc bych se bál toho, že díru do systému vytvoříte pokusy s dvěma instancemi sshd.