Запретить некоторым пользователям ssh из внешней сети

Question

[Евгений Елизаров]

Господа, хел плиз mac sshd почитал, но или плохо читал или нет там этого.
Задача — некоторым пользователям запретить логинится по ssh с определённого интерфейса (из внешней сети, только из локальных подсетей). Как бы это лучше сделать?

Comments

[Евгений Елизаров]

OS — Gentoo

Answer 1

[Next_Alex]

ну можно попробовать повозиться с DenyUsers в sshd_config:
DenyUsers
This keyword can be followed by a list of user name patterns, separated by spaces. Login is disallowed for user names that match one of the patterns. Only user names are valid; a numerical user ID is not recognized. By default, login is allowed for all users. If the pattern takes the form USER@HOST then USER and HOST are separately checked, restricting logins to particular users from particular hosts. The allow/deny directives are processed in the following order: DenyUsers, AllowUsers, DenyGroups, and finally AllowGroups. See PATTERNS in ssh_config(5) for more information on patterns.

Comments

[Евгений Елизаров]

Ну если он * в шаблоне ip воспринимает, то в общем то можно наверное как то
DenyUsers user1@*
AllowUsers user1@192.168.0.0/24
так…
попробую, спасибо

[Евгений Елизаров]

Нет, так он вообще не пускает.

[Next_Alex]

У меня работает:
DenyUsers test_user@"*,!192.168.0.*"

[Next_Alex]

подробнее тут раздел PATTERNS

[Евгений Елизаров]

Так, видимо дело в кавычках, щас попробую

[Евгений Елизаров]

Ну по крайней мере из разрашённой подсети пускает, вечером проверю будет ли пускать из остальных. Спасибо!

[Евгений Елизаров]

Да, всё работает правильно, ещё раз спасибо, для плюса, к сожалению мало кармы :(

[Sergey]

Ничего, я за тебя сделал )

[Next_Alex]

спасибо :)

[Евгений Елизаров]

bondbig ;)

Answer 2

[Максим]

Можно попробовать двумя способами, первый способо используя файлы hosts.allow/hosts.deny, второй способ используя iptables.
В файле hosts.allow необходимо указать разрешенные, например:
sshd: x.x.x.x/y.y.y.y: allow
x.x.x.x — ip
y.y.y.y — маска
а в hosts.deny:
sshd: ALL: deny

Comments

[Евгений Яблоков]

Это вариант, конечно. Но, на мой взгляд, самый последний. Использовать TCP Wrappers не стоит, если есть другие способы. А хи много.

Answer 3

[GOLDEN_key]

Элементарно, Ватсон!

man sshd_config

на предмет

AllowUsers

This keyword can be followed by a list of user name patterns, separated by spaces. If specified, login is allowed only for user names that match one of the patterns. ‘*’ and ‘?’ can be used as wildcards in the patterns. Only user names are valid; a numerical user ID is not recognized. By default, login is allowed for all users. If the pattern takes the form USER@HOST then USER and HOST are separately checked, restricting logins to particular users from particular hosts.

то есть

AllowUsers vasya petya [e-mail]

Comments

[Владислав]

а теперь как им залогиниться из локальной сети? :)

Answer 4

[ModgaheaD]

ОС не указана…
В FreeBSD это можно решить в login.conf

Comments

[Евгений Елизаров]

Gentoo

Answer 5

[ob1]

Наверное стоит запустить два сервера SSH, и настроить один для локальной сети, второй для внешней. Внешний SSH запустить на другом порту, а на роутере (или в сетевом экране) настроить трансляцию с внешнего интерфейса с 22 порта.

Comments

[Евгений Елизаров]

А зачем 2 сервера? Одной строкой в конфиге задача решается.