Newsgroup: it.comp.os.linux.sys
Titolo: Limitare accesso ssh

Ciao a tutti.
Ho un problema.... "sai che novità" direte voi...
COmunque il problema è questo: accettavo login via telnet su un
server, limitando l'accesso ad un paio di gruppi tramite
/etc/login.access.
Dopo aver upgradato il suddetto server il servizio telnet (in chiaro)
è stato disbilitato ed è rimasto solo l'accesso ssh (che serve anche a
me per l'amministrazione da remoto); il server però accetta la login
via ssh anche dagli utenti dei gruppi per i quali la login era in
precedenza disabilitata.
Come faccio ad evitare che il gruppo "user" ad esempio non possa
accedere mentre root ed il gruppo system sì come succedeva prima??
Un grazie ed una birra a chi mi darà qualche dritta!
Ciao
				Cristian

Cristian T ha scritto:

vai in sshd_config solitamente in /usr/local/etc/
In fondo alla conf metti questa riga:
		AllowGroups ssh
Restarta il server ssh!
Dopo ciò l'accesso ssh sarà consentito solo agli utenti appartenenti al 
gruppo ssh!
groupadd ssh
/* aggiunge il gruppo */
usermod -G users,ssh Cristian
/* Per aggiungere un utente pre-esistente che apparteneva al gruppo 
users al gruppo ssh*/
La birra me la porti a caserta?
enjoy

 writes:

configuri le pam. basta mettere
account required pam_access.so
nel file /etc/pam.d/ssh
e poi modifichi /etc/security/access.conf a tuo piacimento 
.a.
P.S. per la birra come si fa?
-- 
Il mattino ha l'oro in bocca. Il MATTino ha l'OrO In bOcca.
i lma tt ino ha l'o roin bocc a.ilmattinohal'oroinbocca. il ma tt in
oh al' or oi nb oc ca. il matti noha l'oroinbocca. IL MATtiNO Ha l'ORO
InBOCCa. I l m a t t i n o  h a l' o r o i n b o c c a . ilmattinohal'oroin
BoCcA. iLmAtTiNoHaL'oRoInBoCcA.

 AllowGroups, AllowUsers, DenyGroups, DenyUsers, ma soprattutto
Ecco, una cosa che non ho capito in Debian è perché non è stata fatta di
default l'ovvietà di definire un gruppo per gli sshusers, e di abilitare
solo gli appartenenti a questo gruppo per l'accesso ssh.
Perché è vero che coi certificati ti metti al sicuro da queste cose,
però è anche vero che dopo sei costretto a girare sempre col tuo
certificato e installarlo nelle eventuali macchine da cui ti logghi.
Se non hai il certificato sottomano, sei comunque tagliato fuori.
Restringendo l'accesso ai gruppi, invece, posso abilitare un gruppo di
utenti ben definiti, e con questi fare login da qualunque parte del
mondo con un semplice client ssh senza avere null'altro.
In certi casi è comodo. Per tutti gli altri, invece, nessuna speranza di
accesso.
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 mondo con un semplice client ssh senza avere null'altro.
Su i miei server entra solo chi ha requisiti per farlo. Sono piu`
interessato alla qualita` dell'auth.
La feature li sopra`, non ha elementi di aumento della sicurezza, ma e`
un rimedio, al fatto che su un tuo server, hai utenti validi con
password poco buone. Il problema e` a monte. Suppongo che tu non ne
possa fare a meno, e quindi quella e` una soluzione. Non e` "lo
standard". Lo "standard" e` utenti validi, con politiche di password
accettabili.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Confidence is the feeling you have before you understand the situation.

La birra me la porti a caserta?
In effetti da Vercelli arriverebbe un po' calda....
Comunque una Leffe bionda potrebbe andare o hai altre preferenze???
Ciao!
			Cristian

P.S. per la birra come si fa?
Se abiti in zona Vercelli/Biella basta un mail!
Ciao e grazie
		Cristian
P.S. Un fan di shining????

 P.S. Un fan di shining????
di kubrick. Sono felice che qualcuno abbia colto la citazione :-)
.a.


 che leggere una password su un post-it!
Qualche mese fa un commerciale di una ditta aveva lasciato la sua penna
usb attaccata a un nostro pc che gli avevamo "prestato".
La cosa non è così remota :-O


 La cosa non è così remota :-O
Che discorso. Un ladro potrebbe entrare e farti fuori il server. Quindi,
lasciamo la porta aperta.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
These opinions are my own, though for a small fee they be yours too.

 Basta dargli /bin/false come shell e voilà, in questo caso..
Eh no.
Almeno con proftpd è richiesto che l'utente abbia una shell di bash.
Prova: sia con /bin/false che /bin/true se provi a fare login in ftp con
un utente ti risponde "login errato".
Se gli rimetti la shell a /bin/bash ecco che ritorna ad ammetterti il
login.
Quella del cambiare la shell era stata la prima cosa che avevo tentato
(l'avrei preferita come soluzione, d'altro canto non capisco perché un
utente ftp debba avere una shell) però ero incappato in questo limite.


 Almeno con proftpd è richiesto che l'utente abbia una shell di bash.
Falso, cercati RequireValidShell nella documentazione.
Saluti
Teo

 Falso, cercati RequireValidShell nella documentazione.
boja d'un giuda... ecco il parametro che ho cercato una vita :-O
Ci avevo guardato, ma non ero riuscito a trovare nulla di utile e avevo
concluso che proftpd lavorasse così :-O
Beh, grazie :-)
Questo mi è utile!


 invece delle password per l'autenticazione.
...
Ecco, a tal proposito,mi interesserebbe sapere come fare l'autenticazione di ssh 
usando una scheda tipo quelle della camera di commercio ed il relativo lettore, 
oltre ad una password di conferma. Se qualcuno ha qualche doc/info a riguardo lo 
ringrazio.
-- 
Post prandium stabis, post coenam ambulabis.
RRB

 
senza modificare il requirevalidshell  puoi anche aggiungere a 
/etc/shells  /bin/false

cesare fontana ha scritto:

Se non sbaglio proftp permette di creare un file con l'elenco degli user 
ammessi ad utilizzare il servizio
mettendo nel conf
<Limit LOGIN>
     AllowUser user1
     AllowUser user2
     AllowGroup gruppoammesso
     DenyAll
   </Limit>
Una cose del genere se ben ricordo!
Per l'ssh basta definire nel conf :
   AllowGroups ssh

 wrote:
Io sono di vercelli! facciamo un LUG?;) Biella è lontana..
-- 
spiedo

RRB ha scritto:

dai un'occhiata a muscle, se sono ancora vivi; con sw commerciale
e` banale, su linux avevo provato un anno e mezzo fa coi gemplus,
driver libgemcore e ci ho solo perso tempo, probabilmente le cose
sono un po' migliorate nel frattempo

 utente ftp debba avere una shell) però ero incappato in questo limite.
Il limite e` altrove.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Company slogan: The Mandatory Beatings Will Continue Until Morale Improves.

 Il limite e` altrove.
Eh hai pur ragione, finché non trovavo il RequireValidShell però...  :-O


 
O /etc/shells...
-- 
cat: .signature: No such file or directory

 Eh hai pur ragione, finché non trovavo il RequireValidShell però...  :-O
Io non lo uso. Semplicemente, uso/modifico shell "valide" (/etc/shells).
Non e` una peculiarita` di proftpd, questa, pero`.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Russian Roulette: [ $[$RANDOM % 6] = 0 ] && rm -rf / (MdI)

Io sono di vercelli! facciamo un LUG?;) Biella è lontana..
Allora la vicinanza è ancora maggiore: io sono di Santhià.
Però... il LUG non sarebbe mica una grama idea... a Vercelli non c'è.
Ciao!
		Cristian