Permiteți utilizatorului să configureze un tunel SSH, dar nimic altceva

Vedeți această postare la autentificarea cheilor publice .

Cele două lucruri principale de care trebuie să vă amintiți sunt:

1. Make sure you chmod 700 ~/.ssh
2. Append the public key block to authorized-keys

Veți genera o cheie pe mașina utilizatorilor prin intermediul oricărui client ssh pe care îl utilizează. pUTTY de exemplu are un utilitar pentru a face acest lucru exact. Aceasta va genera atât o cheie privată, cât și o cheie publică.

Conținutul fișierului cheie cheie generat va fi plasat în fișierul authorized_keys.

Apoi trebuie să vă asigurați că clientul ssh este configurat să utilizeze cheia privată care a generat cheia publică. Este destul de drept înainte, dar ușor diferit în funcție de clientul utilizat.

Probabil doriți să setați shell-ul utilizatorului pentru a restricționat shell . Dezactivați variabila PATH în fișierele ~/.bashrc sau ~/.bash_profile ale utilizatorului și nu vor putea executa comenzi. Mai târziu, dacă decideți că doriți să permiteți utilizatorilor să execute un set limitat de comenzi, de exemplu less sau tail , atunci puteți copia permisul comenzi către un director separat (cum ar fi /home/commands restrictive ) și actualizarea PATH pentru a indica acel director.

Soluția mea este de a furniza utilizatorului fără o coajă interactivă un tunel, care poate seta /etc/passwd /usr/bin/tunnel_shell .

Doar creați fișierul executabil /usr/bin/tunnel_shell cu o buclă infinită .

#!/bin/bash
trap '' 2 20 24
clear
echo -e "\r\n\033[32mSSH tunnel started, shell disabled by the system administrator\r\n"
while [ true ] ; do
sleep 1000
done
exit 0

Fully explained here: http://blog.flowl.info/2011/ssh-tunnel-group-only-and-no-shell-please/

Pe Ubuntu 11.10, am constatat că am putea bloca comenzile ssh, trimis cu și fără -T și blocând copierea scp, permițând în același timp parcurgerea porturilor.

Mai exact am un server redis pe "somehost" legat de localhost: 6379 pe care doresc să-l împărtășesc în siguranță prin tunelurile ssh către alte host-uri care au un keyfile și care vor ssh in cu:

$ ssh -i keyfile.rsa -T -N -L 16379:localhost:6379 [email protected]

Acest lucru va face ca serverul redis, portul "localhost" 6379 pe "somehost" să apară local pe gazda care execută comanda ssh, remapată la portul "localhost" 16379.

Pe telecomanda "somehost" Iată ce am folosit pentru authorized_keys:

cat .ssh/authorized_keys   (portions redacted)

no-pty,no-X11-forwarding,permitopen="localhost:6379",command="/bin/echo do-not-send-commands" ssh-rsa rsa-public-key-code-goes-here [email protected]

No-pty trips până cele mai multe încercări ssh care doresc să deschidă un terminal.

Permisul de permis explică ce porturi sunt permise să fie redirecționate, în acest caz portul 6379 portul redis-server pe care doream să-l înaintez.

Comanda = "/ bin/echo do-not-send-commands" repeta comenzile "do-not-send" daca cineva sau ceva nu reuseste sa trimita comenzi catre gazda prin ssh -T sau altfel.

De la un om recent om sshd , autorizat_keys/comanda este descris după cum urmează:

comanda = "comanda"                Specifică faptul că comanda este executată ori de câte ori această cheie este utilizată                pentru autentificare. Comanda furnizată de utilizator (dacă există) este                ignorate.

Încercările de a folosi copierea securizată a fișierelor scp vor eșua, de asemenea, cu un ecou al "do-not-send-commands". Am constatat că sftp nu reușește și cu această configurație.

Cred că sugestia de coajă limitată, făcută în unele răspunsuri anterioare, este, de asemenea, o idee bună. De asemenea, aș fi de acord că tot ceea ce este detaliat aici ar putea fi determinat de la citirea "om sshd" și căutarea în acesta pentru "authorized_keys"

Am posibilitatea de a configura fișierul authorized_keys cu cheia publică pentru a vă conecta   Ceea ce nu sunt sigur sunt informațiile suplimentare de care am nevoie   să restricționeze ceea ce este permis să facă acest cont. De exemplu, știu că pot   puneți comenzi cum ar fi:

  no-pty, fără port-expediere, no-X11-expediere, fără agent de expediere
 

Ați dori o linie în fișierul dvs. authorized_keys care arată astfel.

permitopen="host.domain.tld:443",no-pty,no-agent-forwarding,no-X11-forwardi
ng,command="/bin/noshell.sh" ssh-rsa AAAAB3NzaC.......wCUw== zoredache 

Dacă doriți să permiteți accesul numai pentru o anumită comandă - cum ar fi svn - puteți specifica și acea comandă în fișierul chei autorizate:

command="svnserve -t",no-port-forwarding,no-pty,no-agent-forwarding,no-X11-forwarding [KEY TYPE] [KEY] [KEY COMMENT]

From http://svn.apache.org/repos/asf/subversion/trunk/notes/ssh-tricks

Pe lângă opțiunea authorized_keys, cum ar fi redirecționarea fără X11, există exact una pentru care cereți: permitopen = "host: port". Prin utilizarea acestei opțiuni, utilizatorul poate seta un tunel numai pentru gazda și portul specificat.

Pentru detalii despre formatul de fișier AUTHORIZED_KEYS, consultați omul sshd.

Am făcut un program C care arată astfel:

#include 
#include 
#include 
#include 
void sig_handler(int signo)
{
    if (signo == SIGHUP)
        exit(0);
}

int main()
{
    signal(SIGINT, &sig_handler);
    signal(SIGTSTP, &sig_handler);

    printf("OK\n");
    while(1)
        sleep(1);
    exit(0);
}

Am setat shell-ul utilizatorului restricționat la acest program.

Nu cred că utilizatorul restricționat poate executa orice, chiar dacă face comanda ssh server , deoarece comenzile sunt executate folosind shell-ul, iar această shell nu execută nimic.

Here you have a nice post that I found useful: http://www.ab-weblog.com/en/creating-a-restricted-ssh-user-for-ssh-tunneling-only/

Ideea este: (cu numele de utilizator restricționat nou ca "sshtunnel")

useradd sshtunnel -m -d /home/sshtunnel -s /bin/rbash
passwd sshtunnel

Rețineți că folosim rbash (restrict-bash) pentru a restrânge ce poate face utilizatorul: utilizatorul nu poate să cd (schimba directorul) și nu poate seta vreo variabilă de mediu.

Apoi, editează variabila PATH env a utilizatorului în /home/sshtunnel/.profile pentru nimic - un truc care va face ca bash să nu găsească comenzi de executat:

PATH=""

În cele din urmă, nu permitem utilizatorului să editeze niciun fișier prin setarea următoarelor permisiuni:

chmod 555 /home/sshtunnel/
cd /home/sshtunnel/
chmod 444 .bash_logout .bashrc .profile