Ощущается как +15

747мм

Новая тема

Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.

Список тем

Запрет командной оболочки при подключении по SSH

Операционные системы

С друзьями на NN.RU

У вас пока нет друзей на NN.RU, поэтому ссылка на тему не может быть отправлена.

Воспользуйтесь поиском, чтобы найти новых друзей.

В социальных сетях

*SSS*

29.08.2014

Привет всем,
подключаюсь с машины с Windows через интернет к серверу sshd на Ubuntu для работы через тоннель. Подключение проходит нормально. Для подключения использую параметры командной строки:
ssh -i id_rsa -L 127.0.0.1:999 :192.168.10.10:999 -p 443 admin@95.172.95.95
После авторизации образуется тоннель и выполняется вход в командную оболочку под пользователем admin.

Вопрос: мне от этого подключения нужен только тоннель, командная оболочка не нужна. Как ее запретить для подключающегося пользователя? Либо может быть запретить выполнение любых команд в ней?
Отключать нужно по логике со стороны sshd... Почитал справку - как сделать не нашел. Есть только упоминание об этом в описании параметра конф.файла AllowTcpForwarding: "пока пользователям не запрещен доступ к командной оболочке"...

AllowTcpForwarding
Определяет, будет ли разрешено перенаправление TCP. По умолчанию ``yes''. Имейте ввиду, что отключение пересылки TCP не увеличит безопасность пока пользователям не запрещен доступ к командной оболочке, так как они всегда могут установить свои собственные перенаправления.

Вообще было бы идеально, чтобы для каких-то пользователей можно было бы запретить командную оболочку, а для каких-то разрешить...

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

BrainFucker

29.08.2014

Я бы создал отдельного пользователя без оболочки и использовал его. Можно и у пользователя admin её отобрать, если этот аккаунт больше ни для чего не используется.

Создать пользователя без оболочки можно командой adduser --shell /bin/false
Редактировать — командой usermod.

Правда, пользователь без оболочки не может логиниться, в т.ч. по ssh, на сколько я знаю. Но тоннель работать наверное будет.

Для безопасности всё же лучше создать пользователя с урезанными правами и использовать его.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

*SSS*

29.08.2014

да, возможно это и имеется ввиду под фразой "пока пользователям не запрещен доступ к командной оболочке"
Т.е. отключать надо на уровне ОС...

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

*SSS*

29.08.2014

На всякий случай опишу, зачем это нужно, может быть кто-нибудь подскажет другую реализацию?
Нужно подключить 1С на удаленном ПК к ключу 1С и файловой базой 1С, которые находятся за прокси-севером (Ubuntu) в локальной сети.
Т.е. я хотел сделать ssh-тоннели для нужных портов от удаленного ПК к ПК с ключом 1С и базой 1С и подключать по ним сетевую 1С.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

BrainFucker

29.08.2014

Можно VPN использовать.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

*SSS*

29.08.2014

ну vpn вроде как полноценное сетевое подключение создает, с доступом ко всем ресурсам (например файловой системе). А тут это не нужно. Нужно только чтобы 1С считала ключ защиты и подключилась к БД...

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

mik-mak

29.08.2014

iptables-ами прибей, чего не надо, оставь тока доступ к ключу и шарам..
Щщитаю, VPN - оптимальный вариант..

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

*SSS*

29.08.2014

Может я что-то не понимаю, но vpn-канал будет от удаленного ПК через прокси к ПК в локальной сети (с 1С). Т.е. VPN-сервер будет на ПК с 1С...
Разве можно на такой канал воздействовать (фильтровать) с помощью iptables, который на прокси?

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

mik-mak

29.08.2014

Я так думаю, грамотнее будет сделать канал от внешнего хоста до шлюза на входе в локальную сеть.. Тоесь, на Убунте поднимаешь ВПН сервер, смотрящий наружу (манов про это полно на любой вкус), а на внешнем хосте буит клиент..

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

тестовый юзер

29.08.2014

*SSS* писал(а)
Может я что-то не понимаю, но vpn-канал будет от удаленного ПК через прокси к ПК в локальной сети (с 1С). Т.е. VPN-сервер будет на ПК с 1С... <br> Разве можно на такой канал воздействовать (фильтровать) с помощью iptables, который на прокси? ...

С помощью iptables на прокси, разумеется, нет. Это придется делать локальным файрволом на машине с 1С. Самое простое - отключить на ней маршрутизацию.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

*SSS*

29.08.2014

Подсказали решение на opennet, по описанию именно то что нужно:
www.mariovaldez.net/software/sleepshell/

И может сразу кто подскажет - если надо тоннели по нескольким портам открыть, то какой синтаксис будет в командной строке?
Т.е. если один порт то
ssh -i id_rsa -L 127.0.0.1:999 :192.168.10.10:999 -p 443 admin@95.172.95.95

а если несколько, или диапазон?

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

тестовый юзер

29.08.2014

Несколько туннелей.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Новая тема

Список тем

Последние темы форумов

Форум Тема (Автор) Последний ответ Ответов

Техно-форум Ютуб грузится, плеер не работает - AT4070 22.05.2025 в 14:30:12 16

Объявления на НН.РУ - Техника

Добавить объявление

Материнские платы на запчасти и не только

Материнские платы на запчасти и не только Материнские платы и другие комплектующие Отправка в регионы после оплаты. Транспортной...
Цена: 3 000 руб.

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9 Отправка в регионы после оплаты. Продаются сразу обе. Цена за обе 2000 руб....
Цена: 1 000 руб.

Принтер лазерный HEWLETT PACKARD HP-6L

Принтер лазерный HEWLETT PACKARD HP-6L Отправка в регионы после оплаты. 3штуки БУ. Внешний вид из магазина простояли на складе...
Цена: 4 500 руб.

Сетевой фильтр APC Surge Arrest

Сетевой фильтр APC Surge Arrest для радиолюбителя.и не только Отправка в регионы после оплаты. ЦЕНА 3000 руб. В рабочем состоянии....
Цена: 3 000 руб.