Linux za Sve forum

Kako mogu namjestiti da ssh pristup ima samo jedna grupa korisnika

imam npr zaposleni i gosti i želim da zaposleni mogu a da gosti nemogu pristupit putem ssh

http://kimmo.suominen.com/docs/ssh/#chmod

http://joey.ubuntu-rocks.org/blog/2008/ ... -than-you/

nadam se da razumiješ rad s chmod-om, ako šta nije jasno, pitaj..

u svakom slucaju ti je bolje drzati te dvije ( ili koliko ih vec ima ) mreze odvojene, sto mozes rijesiti na razne nacine koje ovise o tome kakvu mrezu imas ( vlanovi, radius/tacacs autentikacija..)

iz ona dva linka ja nekužim.. kako bi to trebalo funkcionirati.. znam raditi sa chmodom

Pozdrav,

Ne znam jesi li uspio rijesiti svoj problem, no koristenje chmod komande ti nece omoguciti sto trazis. Ono sto trazis jest sljedece, naime openssh podrzava konfiguracijske parametre kojima mozes efektivno limitirati pristup SSH servisu odredjenim korisnicima ili grupama.

Konfiguracijska datoteka SSH servisa se nalazi unutar putanje /etc/ssh/, te je njen naziv sshd_config.

Primjer 1:
Za limitiranje pristupa odredjenim korisnicima koristiti ces sljedecu direktivu unutar konfiguracijske datoteke:

AllowUsers ivan marko pero

Dakle, korisnici "Ivan, Marko i Pero" imaju pristup SSH servisu a ostali korisnici ne !

Nadalje, mozes koristiti i invertiranu inacicu gore navedene direktive:

DenyUsers ljubica regica

Ovo znaci da svi osim Ljubice i Regice imaju pristup SSH servisu.

Primjer 2:
Za limitiranje pristupa odredjenim grupama korisnika koristiti ces direktivu unutar konfiguracijske datoteke:

AllowGroups racunovodstvo it

Takodjer kao i u kontroli pristupa za korisnike, mozes koristiti direktivu invertiranog znacenja:

DenyGroups toiletcrew maintenance

Nakon modificiranja konfiguracijske datoteke servisa, moras reload-ati ili restart-ati sam servis kako bi novo dodane ili izmjenjene direktive stupile na snagu.

D.

nisam siguran da je i ovo to sto on trazi, naime vrlo vjeroatno gosti nemaju accounte na njegovoj masini, odnosno nije problem sto on zeli zabraniti nekom postojecem useru/grupi da se logira preko ssh, nego zeli zabraniti gostima pristup do ssh porta.

sto opet moze jedino tako da zna otkuda gost dolazi..

mislim barem sam ja tako shvatio..

glaskoncILLa je napisao/la:nisam siguran da je i ovo to sto on trazi, naime vrlo vjeroatno gosti nemaju accounte na njegovoj masini, odnosno nije problem sto on zeli zabraniti nekom postojecem useru/grupi da se logira preko ssh, nego zeli zabraniti gostima pristup do ssh porta.

sto opet moze jedino tako da zna otkuda gost dolazi..

mislim barem sam ja tako shvatio..

Korisnici i ne moraju biti na lokalnoj masini, user database moze biti LDAP, NIS, RDB, stogod ... no gost i zaposlenici kao korisnici moraju negdje postojati, zar ne ? A upravo ti korisnici se mogu koristiti na linux boxu na ovaj ili onaj nacin sto je van dometa ovog threada.

Mozda je pretenciozno od mene zakljuciti da OP nema intrikantnu mreznu topologiju sudeci po nacinu na koji je zatrazio pomoc., tj. frazirao svoj predikament.

Ukoliko uistinu zeli zabraniti pristup SSH servisu, onda to moze jednostavno rijesiti koristenjem iptables-a ili rudimentarnijom metodom "TCP Wrapperima".

No sada se postavlja pitanje, sto je jednostavnije, napraviti korisnike ili povezati linux box s nekom (skalabilnom) autentikacijskom infrastrukturom ili pak odrzavati n^ (nepotrebnih) unosa u iptables filter tablice ili odgovarajucim datotekama "TCP Wrappera" ? No, to je na njemu samome da odluci.

D.

u tome i je stvar, rekao bih da gosti kao takvi ne postoje.
a to moze rijesiti ili da ih odvoji na poseban l2 segment i tu im forsa parametre po kojima ce se razlikovati od zaposlenika na l3 ili da slozi nekakav AAA koji ce proslijedjivati parametre na osnovu onoga sa cim se netko predstavi ili najbolje i jedno i drugo, obzirom da radius salje usernameove u clear textu..

u trenutku kada zna da su svi gosti u npr 192.168.10/24, to je jedna, a ne n linija u iptablesima.

ukoliko ne zna tko je gost i otkud dolazi, a gosti i dalje dijele l2 segment sa zaposlenicima, gost i dalje moze brutforsati/snifati/mac spoofati ili vec nesto i dobiti pristup sa nekim userom koji je u grupi dozvoljenih jer ima mogucnost i pregledavati promet i mogucnost pokusaja logiranja na masinu.

drade je napisao/la: Mozda je pretenciozno od mene zakljuciti da OP nema intrikantnu mreznu topologiju sudeci po nacinu na koji je zatrazio pomoc., tj. frazirao svoj predikament.

Ukoliko uistinu zeli zabraniti pristup SSH servisu, onda to moze jednostavno rijesiti koristenjem iptables-a ili rudimentarnijom metodom "TCP Wrapperima".

No sada se postavlja pitanje, sto je jednostavnije, napraviti korisnike ili povezati linux box s nekom (skalabilnom) autentikacijskom infrastrukturom ili pak odrzavati n^ (nepotrebnih) unosa u iptables filter tablice ili odgovarajucim datotekama "TCP Wrappera" ? No, to je na njemu samome da odluci.

D.

ti si neki jjj-ev frend?

zezanje, welcome..

Pitanje....
Novi sam na linuxu pa mi neke stvari treba objasniti kao djeteu. Susjed mi je da password od svoga lana ali traži isto da mu dam physical addres mrežne kartice zbog MAC zaštite. To mu služi da se na njegovu mrežu može spojiti samo moja mrežna kartica. Gdje tu adresu mogu vidjeti i kakav je postupak?
Puno hvala!

ako upises;
dobiti ces hrpu toga, a izmedju ostalog nesto slicno ovome;

wlan0 Link encap:Ethernet HWaddr 00:23:69:0c:e9:ca
inet addr:192.168.5.93 Bcast:192.168.5.255 Mask:255.255.255.0
inet6 addr: fe80::223:69ff:fe0c:e9ca/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:781902 errors:0 dropped:0 overruns:0 frame:0
TX packets:239888 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:321674074 (306.7 MiB) TX bytes:35755029 (34.0 MiB)

tvoja kartica je vjerovatno wlan0, a ova nakupna brojki i slova iza HWaddr koju sam boldao i koja ce kod tebe biti sastavljena od drugih znakova je MAC adresa.
samo reci susjedu da mu je to vrlo krzljava zastita..