Tag Archives: ssh

cyberciti.biz OpenSSH Root user account restriction – revisited – Lietuviškai

Original

– čia pateikiamas tik vertimas!

Jei norite leisti prisijungti root naudotojui per SSH tik iš vieno IP, o kitiems naudotojams iš betkur kitur. Tokį sprendimą galime realizuoti per PAM autentifikacijos modulius. Naudosime pam_access PAM modulį, kuris naudojamas prieigos valdymui. Šis suteikia galimybę kontroliuoti prisijungimus atsižvelgiant į:

  • Naudotojo prisijungimo vardą (Login names)
  • Kompą ar domeną (Host or domain names)
  • IP ar IP tinklas (Internet addresses or network IP numbers)
  • Terminal line names etc

Kam naudojam pam_access?

Prie serverio gali reikėti prisijungti iš betkurio tinkle esančio kompiuterio. taigi turime pasirūpinti gera prieigos kontrole, naudojant OpenSSH servisą.

Kaip susikonfiguruoti pam_access?

Reikės keisti šiuos failiukus:

  1. /etc/pam.d/sshd
  2. Linux PAM konfiguracinis failas.

  3. /etc/security/access.conf
  4. Taisyklių paėmimui pagal nutylėjimą yra naudojamas šis failas.

Kai kasnors jungiasi, perbėgama per 2 bylos turinį ir jei yra sutapimas įvykdoma taisyklė. Mes galime nurodyti, ar priimti tokį prisijungimą ar atmesti. sintaksė: permission : username: origins kur:
permission : Teisių laukelis “+” (prieiga suteikiama) ar “-” (prieiga atšaukiama)
username : Linux sisteminis naudotojas (username)/login‘as (root ir kiti). Galima nurodyti ir grupės vardą. Arba galima nurodyti specialų trumpinį: ALL (Jei norime, kad tai būtų skirta visiems).
origins : Čia pateikiamas sąrašas terminalo langų, kompo vardų, IP adresų, domenų, kurie prasideda . ar specialų trumpinį ALL ar LOCAL

Visų pirma, kad tolesni pakeitimai veiktų reikia įjungti pam_access palaikymą byloje /etc/pam.d/sshd:


# vi /etc/pam.d/sshd
# Papildome eilute:
account required pam_access.so


Išsaugome ir uždarome.

Tarkime norime leisti naudotojam root ir lpic prisijungti tik iš IP adreso 1.1.1.1.

Atidarome bylą: /etc/security/access.conf su root’o teisėmis:


# vi /etc/security/access.conf
# Papildome eilute:
-: ALL EXCEPT root lpic:1.1.1.1


Išsaugome bylą.

Dabar SSH leis prisijungimus naudotojų root ir lpic tik iš 1.1.1.1 IP adreso. Jei naudotojas root ir lpic bandys jungtis iš kito IP adreso, jiems parašys: ‘Connection closed by xxx.xxx.xxx.xxx’ ir error pranešimu turėtų būti papildytas Jūsų žurnaliukas (log’as):


# tailf /var/log/message
Feb 20 19:02:39 hostname pam_access[2091]: access denied for user `lpic' from `xxx.xxx.xxx.xxx'


Kur, jau kaip ir minėjau xxx.xxx.xxx.xxx1.1.1.1.
Beje, jei įrašėte savo naudotojo vardą ir išsaugojote… VISOS TAISYKLĖS taikomos IŠKART po IŠSAUGOJIMO /etc/security/access.conf bylos! Būkite atsargūs!

Daugiau pavyzdukų:

a) Kartais reiktų sukurti taisykles, kurios leistų prisijungti visiems išskyrus rootbetkur, o root tik iš localhost:


-:root:ALL EXCEPT LOCAL
# ar
-:root:ALL EXCEPT localhost


b) Deny network and local login to all users except for user root and vivek:

-:ALL EXCEPT root vivek:ALL

c) Tik iš 192.168.1.0/24 leisti prisijungti root naudotoju:


+ : root : 192.168.1.0/24


Pastebėjimas: taip galime leisti ir drausti jungtis visoms tarnyboms, kurios naudoja PAM, pvz.: ftpd, telnet ir t.t.

P.S. + : root : yyy.yyy.yyy.yyy
- : root : ALL

SSH – slaptas naršymas internete

Sveiki,

Nežinau kaip jums, bet man tenka panaršyt tokiuose vietose, kur nežinia ar saugu naršyti, ar galbūt tokius puslapius, kur nereikia, kad žinotų kad tai Jūs. Tokiu atveju, patogu pasinaudoti OpenSSH-server’io teikiamu socks srauto nukreipimu. Tam mums reikia turėti:

  • prisijungimą prie OpenSSH-server’iuko (pasiekiamo iš betkur)
  • putty arba ssh-client
  • IceWeasel ar FF browser‘į

Gaukime prisijungimą prie OpenSSH-server’io: shellmix.com

Užeikime į shellmix.com/ssh registraciją.

  1. Kai pasikrauna puslapis paspauskime ENTER
  2. Kai paraso: shellmix.com login: įrašome newuser
  3. Slaptažodis irgi: newuser
  4. Tuomet įrašome prisijungimo prie šios sitemos naudotojo vardą (nebūtinai tą patį kaip Jūs naudojate) pvz: testinguser
  5. Tuomet tris kartus įvedame savo kokį slaptažodį
  6. Įrašome savo email
  7. Paspaudžiame enter
  8. Pasirenkam kalbą: US
  9. Jei nieko nepraleidau, tai šioje vietoje prašys pasirinkti vhost: shell
  10. Tuomet pasirenkam hdd1
  11. sutinkam su viskuo, jei kas blogai tai bandykite aiškintis kaip pasitaisyti 🙂 aš tingiu 🙂 ir mygiame ENTER

Prisijungimas prie OpenSSH-server

Linux

Taigi dabar beliko prisijungti prie openssh-server’io… Neskubėkit, besijungiant prie ssh serverio reikia nepamiršti, nurodyti papildomą parametrą.
Taigi jei aš pagal nutylėjimą jungiuosi prie openssh-server ssh -l username hostname tai šiuo atveju turėčiau jungtis:


ssh -l username -D 9999 hostname


Windows

Deja, jei Jūs naudojate WINDOWS operacinę sistemą, Jūs deja neturite tiek daug džiaugsmo ir privalote praleisti daugybe laiko ieškodami programų ar sprendimų į Jums iškilusią problemas… tokiu atveju aš padėsiu Jums pataupyti laiko kitiems ieškojimams ir pasakysiu: PuTTy’ę galite parsisiųsti iš ČIA! Šios programos diegtis/install’iuoti net nereikia! Afigenčik ane? 🙂 taigi, pasileiskim ją.
Į laukelį Host įrašome savopasirinktą prisijungimo vardą.shellmix.com pvz: testinguser.shellmix.com
Port palikim 22
PuTTY Configuration session
Tuomet randame kairiame stulpelyje Connection ir jo viduje (kairiame šone esančiame stulpelyje) turi būti SSH išskleiskime jį, paspauskit pliusiuką. ir ten rasite Tunnels
Source port įrašykite 9999 ir pasirinkite Dynamic.
Tuomet paspauskite Add.
PuTTY Configuration tunnels
Grįškime į pradžią ir išsisaugokim, šiuos nustatymus, kad butų naudojami pagal nutylėjimą tam mums reikia grįšti į patį viršutinį kairiojo meniu punktą Session ir pasirinkti pelyte Default Settings ir paspausti Save
PuTTY Configuration session save Default Settings

Naršyklės nustatymai

P.S. Jei norite, kad puslapis nežinotų, kad Jūs dar kažkaip kitaip jungiatės prie jo, tai su ja nesijunkite prie jo daugiau, junkitės per kitą naršyklę.

Tuomet naršyklėje einu į punktą Edit -> Preferences. Tuomet pasirenku tab’us Advanced -> Network. Ten Settings ir pasirenku radio button’ą Manual proxy configuration ir į SOCKS Host įrašome 127.0.0.1, o Port’ą nurodome tuos pačius keturis devynetus. Pasirenkame SOCKS v5, nors SSH (šiuo metu 2010-10-21 OpenSSH v5.1p1) palaiko v4 ir v5. Ir į No proxy for: įrašome savo lokalius tinklus ir jei reikia savo kompiuterį.

Jei norite paslėpti nuo lokalaus admino kus jūs lankotės tai jums reik sekti ir šiuos nustatymus:

Atrodytų viskas… heh, ogi nieko panašaus… Žinot kas dabar lieka ten kur jūs naudojate savo naršyklę? O taip DNS! Heh, pasitikrinkit su wireshark filtruose nurodant port 53. Kaip gi apeiti šį blogį? Kam to reik? kad mūsų nemestu į netikrus puslapius ir iš mūsų neišžvejotų mūsų slaptažodžių. Taigi… Atsidarykite Mozillos produktą ir adreso laukelyje įrašykite about:config ten į filtrą įveskite:socks_remote_dns ir vienintelį (tikriausiai) likusį variantą doubleclick’inkite. jis turėtų pakeisti reikšmę į true. Psio.

Papildyta iš: SSH – saugus ir slaptas naršymas internete

SSH – saugus ir slaptas naršymas internete

Sveiki,
Išsamesnis straipsniukas
Nežinau kaip jūs, bet yra tekę kartais panaršyt tokiuose vietose kur nežinia ar saugu naršyti. Tokiu atveju, patogu pasinaudoti SSH teikiamu socks naršymu. tam mums bereikia turėti SSH serveriuką (pasiekiamą iš išorės) ir bent IceWeasel ar FF browser‘į.
Taigi dabar beliko prisijungti prie ssh serverio… Neskubėkit, besijungiant prie ssh serverio reikia nepamiršti, nurodyti -D parametrą. Taigi jei aš pagal nutylėjimą jungiuosi prie ssh ssh -l username hostname tai šiuo atveju turėčiau jungtis:


ssh -l username -D 9999 hostname


Tuomet naršyklėje einu į punktą Edit -> Preferences. Tuomet pasirenku tab’us Advanced -> Network. Ten Settings ir pasirenku radio button’ą Manual proxy configuration ir į SOCKS Host įrašome 127.0.0.1, o Port’ą nurodome tuos pačius keturis devynetus. Pasirenkame SOCKS v5, nors SSH (šiuo metu 2010-10-21 OpenSSH v5.1p1) palaiko v4 ir v5. Ir į No proxy for: įrašome savo lokalius tinklus ir jei reikia savo kompiuterį.

Atrodytų viskas… heh, ogi nieko panašaus… Žinot kas dabar lieka ten kur jūs naudojate savo naršyklę? O taip DNS! Heh, pasitikrinkit su wireshark filtruose nurodant port 53. Kaip gi apeiti šį blogį? Kam to reik? kad mūsų nemestu į netikrus puslapius ir iš mūsų neišžvejotų mūsų slaptažodžių. Taigi… Atsidarykite Mozillos produktą ir adreso laukelyje įrašykite about:config ten į filtrą įveskite:socks_remote_dns ir vienintelį (tikriausiai) likusį variantą doubleclick’inkite. jis turėtų pakeisti reikšmę į true. Psio.