Newsgroup: it.comp.os.linux.sys
Titolo: Legare OpenSSH a un'interfaccia

Avrei bisogno di fare si che OpenSSH stia in ascolto su un'interfaccia che
può avere un IP variabile (come si può intuire, una ppp0 del collegamento a
internet) e non riesco a trovare il modo. Da quel che ho visto esiste solo
la direttiva ListenAddress, che permette di scegliere un IP/host a cui
legare OpenSSH. E non mi va neanche bene lasciarlo in ascolto su tutte le
interfacce che ho.
Si può fare in qualche modo?
-- 
Vide
"To emulate flesh machines I am learning" (Nevermore)
NP: Nulla

 Si può fare in qualche modo?
Filtrando la porta 22 sulle altre iunterfacce con iptables.
ciao
Luca
-- 
Luca Corti
PGP Key ID 1F38C091
BOFH excuse of the moment:
PEBKAC (Problem Exists Between Keyboard And Chair)

 Si può fare in qualche modo?
Un po` macchinoso, ma con uno script apposito in ip-up.d, si fa.
Posso chiede "perche`"? voglio dire, di solito, ci si preoccupa di
bindare su un'interfaccia locale, considerando poco sicura,
l'interfaccia "esterna", il contrario, un po`, mi sfugge, ma
probabilmente, hai ottimi motivi per fare cio`.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
If God had meant us to compute securely, He'd have given us more prime numbers!

 Un po` macchinoso, ma con uno script apposito in ip-up.d, si fa.
Beh dai, fai uno script che fa qualcosa tipo:
#!/bin/bash
INTERFACCIA=`/sbin/ifconfig | cut grep etc.`
MASTER=/etc/ssh/sshd_config-master
SSHD_CONFIG=/etc/ssh/sshd_config
cat $MASTER | \
    sed s/"ListenAddress 0.0.0.0"/"ListenAddress $INTERFACCIA"/ \
    > $SSHD_CONFIG
/etc/init.d/ssh restart
(ovviamente copiando /etc/ssh/sshd_config con il ListenAddress 0.0.0.0
in sshd_config-master che viene usato per rigenerare quello "utilizzato"
di volta in volta)
Secondo me raggiunge rapidamente lo scopo.
-- 
Massimo Bacilieri AKA Crononauta
ICQ: 4005815

 probabilmente, hai ottimi motivi per fare cio`.
Fondamentalmente, voglio potermi connettere dal lavoro a casa quando ho
necessità, e visto che spesso spengo al PC alla sera, vorrei una cosa
automatica :)
Inoltre non voglio metterle su tutte le interfacce perchè ho una scheda wifi
e cerco di esporci il minor numero di servizi possibili. (ok, è un po'
paranoico perchè tanto se me la bucano danni ne fanno cmq a prescindere da
ssh, però...)


 ssh, perň...)
Perdonami, ma secondo me la strada giusta non č quella di ridurre le
interfacce su cui sta in ascolto (tanto una volta che la metti su quella
pubblica di internet, peggio di cosě...) quanto semmai di restringere
gli utenti che possono fare login tramite ssh.
Io sono solito disabilitare l'accesso root e abilitare l'accesso solo a
un gruppo ristretto che definisco "sshusers". A questo gruppo aggiungo i
pochi utenti che voglio autorizzare al login.
A questo punto, a meno di clamorosi buchi di ssh, dovresti stare
ragionevolmente sicuro.


 ssh, però...)
Uhmmm... e impedire l'accesso alla porta sull'interfaccia wifi con 
un colpetto di iptables? Un bel semplificarsi la vita, no? :-)
Fabio

 gli utenti che possono fare login tramite ssh.
Sì ma infatti credo che alla fine metterò su (o almeno ci provo :P)
un'autenticazione su chiave e IP sorgente e finita lì, che probabilmente è
il metodo più sicuro.
La curiosità era semplicemente data dal fatto di non voler esporre SSH su
wifi senza dover ricorrere a iptables, e per essere sicuro di aver capito
bene il man di sshd.conf :)


 ssh, però...)
Io tirerei giu` l'iface wifi quando non e` utilizzata, ovvero, la
attiverei solo quando mi serve. Per se, se il servizio non e`
exploitabile (niente bug noti, magari niente pass e certificati per
ssh), il fatto che ci sia un servizio non rende la macchina piu` esposta
(nel senso che il servizio c'e`).
E delle due, mi preoccuperi piu` di eventuali altri servizi, su wifi che
non di ssh su cui, se adeguatamente configurato e tenuto aggiornato, e`
nato per essere "esposto".
My 2 cents, ovviamente.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
"SPARC" is "CRAPS" backwards --Rob Pike