Самый ограниченный пользователь для ssh
olegon 4 декабря, 2009 - 12:49
Много ссылок нашел на эту тему, но все немного не то.
Суть, для проброса порта на прокси использую ssh. Нужно, чтобы этот пользователь не мог вообще ничего делать, т.е. подключиться мог, с портом работал бы, но ничего более. Ни из хома выйти, ни потрогать какие-то файлы, ВООБЩЕ ничего больше. Есть идеи что нужно сделать?
»
- Для комментирования войдите или зарегистрируйтесь
chroot ? хотя вот эту фразу
chroot ?
хотя вот эту фразу не догнал ....
а возможно она и ключевая .....
что-то добрый я сегодня ....
Можно сделать скриптик вроде
Можно сделать скриптик вроде такого
добавить путь к нему в /etc/shells, а затем добавить пользователя в последней колонке в /etc/passwd для которого указать этот скриптик
Спасибо большое, так и сделал
Спасибо большое, так и сделал некоторое время назад. Самое правильное - отсутствие шела.
http://olegon.ru
При старте ssh соединения
При старте ssh соединения можно указать команду, которая будет выполнена при входе на удаленную машину и я не уверен, что этому отсутствие шела помешает - проверьте на всякий случай.
попробовал: ssh user@host
попробовал:
ssh user@host 'echo 1234 > /tmp/aaa'демон sshd при этом выполняет:
/bin/sh /etc/local_scripts/port_forward_login -c echo 1234 > /tmp/aaaгде /etc/local_scripts/port_forward_login это как раз скриптик о котором я писал выше.
То есть вроде как нормально все. Хотя ман об этом говорит иначе:
If command is specified, it is executed on the remote host instead of a login shell.тут похоже неточность в мане. и нужно заменить instead of на in.
/
Лежит тебе путь-дорожка дальняя в багзиллу ;)
:wq
--
Live free or die
а куда такое лучше? на
а куда такое лучше? на гентушную или сразу в апстрим?
Да, лучше сходить, а то
Да, лучше сходить, а то кто-нибудь другой обратится и переделают, на как в man написано )
Я пробовал так "ssh хост ps",
Я пробовал так "ssh хост ps", и ps высвечивает только себя(без шела)
Для этих целей есть
Для этих целей есть /sbin/nologin вроде
с nologin нельзя пробрасывать
с nologin нельзя пробрасывать порты, для проброса я так понимаю, нужно залогиниться, а nologin этого не позволяет
Посадить юзверя в чрут.
Посадить юзверя в чрут.
Эгоист, это тот человек, которых думает о себе, вместо того, чтобы думать обо мне.
Ĉu vi komprenas min?
olegon написал(а): Много
app-shells/rssh
net-misc/stunnel - хотя это не SSH, но делает именно то, что вам надо. Правда через SSL.