Limitare i comandi eseguivibili via ssh - Revision history

Gabriele.vivinetto: /* Limitare l'accesso SSH a rsync (o scp o sftp) */

2008-11-13T11:10:37Z

Limitare l'accesso SSH a rsync (o scp o sftp)

← Older revision		Revision as of 11:10, 13 November 2008
Line 69:		Line 69:
	sudo chmod +x /usr/local/sbin/validate-rsync		sudo chmod +x /usr/local/sbin/validate-rsync

	~~Dichiararlo come~~ comando valido nell'authorized_keys:		Assicurarsi che l'utente abbia l'hash dei known_hosts disabilitato:

			vi ~/.ssh/config

			HashKnownHosts no

			Dichiarare le restrizioni ed il comando valido nell'authorized_keys:

	<pre>		<pre>

Gabriele.vivinetto: /* Limitare l'accesso SSH a rsync (o scp o sftp) */

2007-05-25T16:45:53Z

Limitare l'accesso SSH a rsync (o scp o sftp)

← Older revision		Revision as of 16:45, 25 May 2007
Line 35:		Line 35:

	<pre>		<pre>
	cat \| sudo tee /usr/local/~~sbin~~/validate-rsync > /dev/null <<EOFile		cat \| sudo tee /usr/local/bin/validate-rsync > /dev/null <<'EOFile'
	#!/bin/sh		#!/bin/sh

Line 67:		Line 67:
	</pre>		</pre>

	sudo chmod +x usr/local/sbin/validate-rsync		sudo chmod +x /usr/local/sbin/validate-rsync

	Dichiararlo come comando valido nell'authorized_keys:		Dichiararlo come comando valido nell'authorized_keys:

Gabriele.vivinetto: Limitare rsync

2007-02-19T13:23:45Z

Limitare rsync

← Older revision		Revision as of 13:23, 19 February 2007
Line 28:		Line 28:

	* man sshd AUTHORIZED_KEYS FILE FORMAT		* man sshd AUTHORIZED_KEYS FILE FORMAT


			== Limitare l'accesso SSH a rsync (o scp o sftp)==

			Creare lo script:

			<pre>
			cat \| sudo tee /usr/local/sbin/validate-rsync > /dev/null <<EOFile
			#!/bin/sh

			case "$SSH_ORIGINAL_COMMAND" in
			\&)
			echo "Rejected"
			;;
			\()
			echo "Rejected"
			;;
			\{)
			echo "Rejected"
			;;
			\;)
			echo "Rejected"
			;;
			\<)
			echo "Rejected"
			;;
			\`)
			echo "Rejected"
			;;
			rsync\ --server*)
			$SSH_ORIGINAL_COMMAND
			;;
			*)
			echo "Rejected"
			;;
			esac
			EOFile
			</pre>

			sudo chmod +x usr/local/sbin/validate-rsync

			Dichiararlo come comando valido nell'authorized_keys:

			<pre>
			from="10.0.21.253",command="/usr/local/bin/validate-rsync" ssh-rsa AAAAB3NzaC1yc
			2EAAAABIwAAAIEAxwgWwz+lKS0P1eDk6UIQeedAjlCD6gCEulTCugpNS7fgXBJ3xKBSCa/Xo2PrRFaDJ
			4ADCZf0D0cJtCKUsQHQSKILch9hyFUPssDVwZTLZXTp0nDyY4Y7nFju/g9bGOGDPF+FaeqGrExTydeeA
			OxYTbHQpWXGgTcQQLRlIGIheSM= root@firecp
			</pre>

			In questo modo saranno accettati solo connessioni rsync.

			===Riferimenti===
			Spiegano altri modi:

			*[http://troy.jdmz.net/rsync/index.html Using Rsync and SSH: Keys, Validating, and Automation ]
			*[http://sublimation.org/scponly/wiki/index.php/Main_Page ScpOnly]

Gabriele.vivinetto at 13:35, 4 May 2006

2006-05-04T13:35:22Z

New page

Di default NON E' POSSIBILE limitare i comandi eseguibili via ssh, ma è impostabile l'unico comando eseguibile al login.
Per far eseguire il comando dopippo al login, occorre inserire in '''~/.ssh/authorized_keys''' il comando.

Esempio: se si vuole usare l'utente per salvare un backup via ssh, inserire la sua chiave pubblica, preceduta da:

from="fire.galimberti.priv",no-pty,command="cd /files/backups; cat | bzip2 -9 > fire-$(date +%Y-%m-%d).tar.bz2" ssh-rsa AAthisisthekey root@fire

'''from="fire.galimberti.priv"'''

indica da che macchina si accetta la connessione. Il nome del sistema da cui ci si connette lo si rileva da /var/log/auth

'''no-pty'''

indica di non associare un terminale alla connessione

'''command="cd /files/backups; cat | bzip2 -9 > fire-$(date +%Y-%m-%d).tar.bz2"'''

e' il comando che viene eseguito alla connessione. Ogni altro comando dato VIENE IGNORATO.

Dalla'ltro sistema, si lancerà quindi:

tar cvf - . | ssh backupfw@web

Verrà creato l'archivio di destinazione.

== Riferimenti ==
* [http://groups.google.it/group/lucky.freebsd.questions/tree/browse_frm/thread/e1d6ced36e93b006/23b8351714e14bf4?rnum=1&hl=it&q=ssh+limit+commands&_done=%2Fgroup%2Flucky.freebsd.questions%2Fbrowse_frm%2Fthread%2Fe1d6ced36e93b006%2Fac9721e41ec6fe2f%3Flnk%3Dst%26q%3Dssh+limit+commands%26rnum%3D4%26hl%3Dit%26#doc_ac9721e41ec6fe2f Google Gruppi: lucky.freebsd.questions: Automating ssh connections so only one command would run.]

* man sshd AUTHORIZED_KEYS FILE FORMAT