Pozwól użytkownikowi skonfigurować tunel SSH, ale nic więcej

Prawdopodobnie będziesz chciał ustawić powłokę użytkownika na powłokę ograniczoną . Wyłącz zmienną PATH w pliku ~ / użytkownika.bashrc lub ~/.bash_profile i nie będą w stanie wykonać żadnych poleceń. Później, jeśli zdecydujesz, że chcesz zezwolić użytkownikom na wykonywanie ograniczonego zestawu poleceń, takich jak less lub tail, możesz skopiować dozwolone polecenia do oddzielnego katalogu (takiego jak /home/restricted-commands) i zaktualizować ścieżkę do tego katalogu.

Oprócz opcji authorized_keys, takiej jak no-X11-forwarding, istnieje dokładnie jedna, o którą prosisz: permitopen= "host: port". Korzystając z tej opcji, użytkownik może skonfigurować tunel tylko do określonego hosta i portu.

Szczegóły formatu pliku AUTHORIZED_KEYS znajdują się w Man sshd.

Moim rozwiązaniem jest zapewnienie użytkownikowi, który może tylko tunelować, bez interaktywnej powłoki , aby ustawić tę powłokę w /etc/passwd na /usr/bin/tunnel_shell.

Wystarczy utworzyć plik wykonywalny /usr / bin / tunnel_shell z nieskończoną pętlą.

#!/bin/bash
trap '' 2 20 24
clear
echo -e "\r\n\033[32mSSH tunnel started, shell disabled by the system administrator\r\n"
while [ true ] ; do
sleep 1000
done
exit 0

W pełni wyjaśnione tutaj: http://blog.flowl.info/2011/ssh-tunnel-group-only-and-no-shell-please/

Jestem w stanie skonfigurować plik authorized_keys z kluczem publicznym do logowania do środka. Nie jestem pewien co do dodatkowych informacji, które muszę ogranicz to, co może robić to konto. Na przykład, Wiem, że mogę umieść polecenia takie jak:

no-pty,no-port-forwarding,no-X11-forwarding,no-agent-forwarding

Chcesz mieć linię w pliku authorized_keys, która wygląda tak.

permitopen="host.domain.tld:443",no-pty,no-agent-forwarding,no-X11-forwardi
ng,command="/bin/noshell.sh" ssh-rsa AAAAB3NzaC.......wCUw== zoredache 

Jeśli chcesz zezwolić na dostęp tylko dla określonego polecenia-jak svn - możesz również określić to polecenie w pliku autoryzowanych kluczy:

command="svnserve -t",no-port-forwarding,no-pty,no-agent-forwarding,no-X11-forwarding [KEY TYPE] [KEY] [KEY COMMENT]

Z http://svn.apache.org/repos/asf/subversion/trunk/notes/ssh-tricks

Tutaj masz fajny post, który uważam za przydatny: http://www.ab-weblog.com/en/creating-a-restricted-ssh-user-for-ssh-tunneling-only/

useradd sshtunnel -m -d /home/sshtunnel -s /bin/rbash
passwd sshtunnel

Zauważ, że używamy rbash (restricted-bash), aby ograniczyć to, co użytkownik może zrobić: użytkownik nie może cd (zmienić katalogu) i nie może ustawić żadnych zmiennych środowiskowych.

Następnie edytujemy zmienną PATH użytkownika env w /home/sshtunnel/.profile na nic - sztuczka, która sprawi, że bash nie znaleziono żadnych poleceń do wykonania:

PATH=""

W końcu nie zezwalamy użytkownikowi na edytowanie dowolnych plików, ustawiając następujące uprawnienia:

chmod 555 /home/sshtunnel/
cd /home/sshtunnel/
chmod 444 .bash_logout .bashrc .profile

Zobacz ten post na temat uwierzytelniania kluczy publicznych .

Dwie główne rzeczy, o których musisz pamiętać, to:

1. upewnij się, że chmod 700 ~/.ssh
2. dołącza blok klucza publicznego do autoryzowanych kluczy

Zrobiłem program w C który wygląda tak:

#include <stdio.h>
#include <unistd.h>
#include <signal.h>
#include <stdlib.h>
void sig_handler(int signo)
{
    if (signo == SIGHUP)
        exit(0);
}

int main()
{
    signal(SIGINT, &sig_handler);
    signal(SIGTSTP, &sig_handler);

    printf("OK\n");
    while(1)
        sleep(1);
    exit(0);
}

Ustawiłem powłokę ograniczonego użytkownika do tego programu.

Nie sÄ ... dzÄ™, Ĺźe Ograniczony uĺźytkownik moĹźe wykonaÄ ‡ cokolwiek, nawet jeĹ "li zrobi to ssh server command, poniewaĹź komendy wykonywane sÄ ... przy uĹźyciu powĺ' oki, a ta powĺ ' oka niczego nie wykonuje.

Wygenerujesz klucz na komputerze użytkownika za pośrednictwem dowolnego klienta ssh, którego używają. na przykład szpachla ma narzędzie do tego. Wygeneruje zarówno klucz prywatny, jak i publiczny.

Zawartość wygenerowanego pliku klucza publicznego zostanie umieszczona w pliku authorized_keys.

Następnie musisz się upewnić, że klient ssh jest skonfigurowany do używania klucza prywatnego, który wygenerował klucz publiczny. Jest dość prosta, ale nieco inna w zależności od klient jest używany.