[Linuxtrent] Re: Domanda SSH: limitare certi utenti a host/subnet specifico
- From: "luca@xxxxxxxxxxxxxxxx" <luca@xxxxxxxxxxxxxxxx>
- To: linuxtrent@xxxxxxxxxxxxx
- Date: Mon, 27 Nov 2006 12:04:23 +0100
Per limitare l'accesso SSH di root ad un host specifico potresti:
1) configurare l'accesso al server ssh di root con le authorized_keys:
1a) ti crei una coppia di chiavi dsa con ssh-keygen -t dsa
1b) la chiave privata la copi in /root/.ssh/authorized_keys del server
1c) la chiave pubblica nella .ssh/id_dsa del client autorizzato a
connettersi come root
--) in questo modo dovresti poter connetterti in SSH dal client
autorizzato senza specificare una password
--) se funziona potresti specificare delle restrizioni sulla chiave
privata (google :-) )
2) In /etc/ssh/sshd_config cambi la variabile PermitRootLogin da yes
a without-password
Spero che questo ti possa essere utile
ciao
Luca
Il giorno 27/nov/06, alle ore 11:30, Flavio Stanchina ha scritto:
Mi chiedevo se è possibile limitare il login via SSH di un utente (in
particolare root, come avrete immaginato) ad un host/subnet specifico.
Ho letto il manuale di sshd e sshd_config ma non ho trovato niente del
genere; non credo che i vari /etc/hosts.allow, /etc/hosts.deny,
~/.shosts ed
/etc/ssh/shosts.equiv menzionati in sshd(8) consentano questo.
L'opzione
from="pattern-list" in ~/.ssh/authorized_keys potrebbe aiutare, ma
dovrei
disabilitare l'accesso con qualsiasi altro metodo.
Qui leggo che la versione di SSH distribuita con HP/UX include un
"Auth
Selection patch" che implementa quello che vorrei:
http://docs.hp.com/en/T1471-90028/ch04s07.html
Non è che mi fidi molto a patchare OpenSSH... ma se qualcuno lo ha
provato
magari potrei fare un tentativo.
--
Ciao, Flavio
--
Per iscriversi (o disiscriversi), basta spedire un messaggio con
OGGETTO
"subscribe" (o "unsubscribe") a mailto:linuxtrent-
request@xxxxxxxxxxxxx
--
Per iscriversi (o disiscriversi), basta spedire un messaggio con OGGETTO
"subscribe" (o "unsubscribe") a mailto:linuxtrent-request@xxxxxxxxxxxxx
Other related posts: