ssh: root-login nur an einem bestimmten Interface

[schogge]

Hallo zusammen,

ich möchte den Login als User Root nur an einem bestimmten Interface erlauben.

In meinem Router stecken zwei Netzwerkkarten. Mit einer wird eine Einwahl über DSL ins Internet gemacht. An der anderen hängt mein lokales Netzwerk.

Ich weiß, dass ich ssh an ein bestimmtes Interface binden kann, sodass man sich nur von diesem über ssh verbinden kann.
Ich weiß auch, dass man dem User root das Einloggen verbieten kann.

Ich möchte das Einloggen als root über DSL verhindern, aber von meinem lokalen Netz aus erlauben.

Ist das überhaupt möglich und wenn ja, wie?

schogge

[mragucci]

Zwei sshd Instanzen mit unterschiedlichen Konfigurationen starten

[schogge]

Zwei sshd Instanzen mit unterschiedlichen Konfigurationen starten

Super Tip! Hat auf Anhieb geklappt. Vielen Dank!

[armin]

Ich würde es ja mit sowas versuche:

Code: Alles auswählen

AllowUsers root@192.168.0.*

oder wie auch immer die IPs in deinem lokalen Netzt aussehen. Das sollte eigentlich auch funktionieren und man hat weiterhin nur eine Instanz laufen.

[Simmel]

Hallo zusammen,

ich möchte den Login als User Root nur an einem bestimmten Interface erlauben.

In meinem Router stecken zwei Netzwerkkarten. Mit einer wird eine Einwahl über DSL ins Internet gemacht. An der anderen hängt mein lokales Netzwerk.

Ich weiß, dass ich ssh an ein bestimmtes Interface binden kann, sodass man sich nur von diesem über ssh verbinden kann.
Ich weiß auch, dass man dem User root das Einloggen verbieten kann.

Ich möchte das Einloggen als root über DSL verhindern, aber von meinem lokalen Netz aus erlauben.

Ist das überhaupt möglich und wenn ja, wie?

schogge

Ein zusätzlicher Tip von mir, schau ins Wiki (Link ist oben auf der Seite), da gibt es ein schönes HOWTO für ein ssh Gefängnis (Netzwerk).

Sehr empfehlenswert.


Grüße,
Simmel

[nil]

Ein zusätzlicher Tip von mir, schau ins Wiki (Link ist oben auf der Seite), da gibt es ein schönes HOWTO für ein ssh Gefängnis (Netzwerk).

Das Gefängnis hat leider einen Konstruktionsfehler. Wenn man weiss wo Befehle so rumliegen kann man mit der Angabe des absoluten Pfades trotzdem auf andere Teile zugreifen, z.B.:

Code: Alles auswählen

/bin/cat /etc/passwd

Gibt es da nicht was besseres, für "scponly" habe ich eine schöne Lösung. Wenn man dort mit "sshfs" verbindet sieht man wirklich nur das, was man sehen soll.

[Simmel]

Das Gefängnis hat leider einen Konstruktionsfehler. Wenn man weiss wo Befehle so rumliegen kann man mit der Angabe des absoluten Pfades trotzdem auf andere Teile zugreifen, z.B.:

Code: Alles auswählen

/bin/cat /etc/passwd

Ich glaube dann hast du etwas übersehen beim Aufsetzen, bei mir geht der User einwandfrei

Code: Alles auswählen

tuersteher@duolith:~$ /bin/cat /etc/passwd
rbash: /bin/cat: restricted: cannot specify `/' in command names

Das einzige was der User bei mir darf ist mit su zu einem anderen User werden, mehr nicht.

Greetz,
Simmel