Forum Linux.débutant [ SSH] interdire q'une machine se connecte sur d'autres

Posté par  .
Étiquettes : aucune
0
19
avr.
2006
Bonjour,

Je voudrais que ma machine A (qui est accessible par toutes mes autres machines en ssh) ne puisse se connecter à aucune machine en ssh... pour éviter les rebonds...

Cela revient à interdire le client ssh? Ma question paraît très simple... mais je sèche.

Quelqu'un peut m'aider?

Je vois qu'à vérouiller le port 22 avec iptable mais il y a plus simple non? Et j'ai trop (enfin...) de machines pour modifier leur /etc/hosts.deny.

Merci.

  • # 2 possibilités

    Posté par  . Évalué à 3.

    soit tu interdis l'exécution de la commande ssh sur la machine en question (voir même tu renomme le binaire por éviter que des "petits malins" y touchent), soit tu arrête le daemon sshd sur les autres machines. L'inconvénient: personne ne peut plus se connecter via ssh dessus.

    • [^] # Re: 2 possibilités

      Posté par  . Évalué à 6.

      "voir même" : pitié ça ne veut rien dire, il ne s'agit pas du verbe "voir" mais du terme "voire"; et il ne faut pas ajouter "même" comme on l'entend régulièrement, car c'est un pléonasme; on dit tout simplement "voire" (qui signifie à peu près "et même", "et éventuellement").

      Pour répondre à arn100, s'il s'agit d'interdire à la machine A de se connecter où que ce soit, le plus simple me paraît en effet d'empêcher l'exécution de la commande "ssh"; c'est faisable soit en enlevant le bit "x" du binaire (avec "chmod a-x /chemin/vers/ssh"), soit en le renommant.

      • [^] # Re: 2 possibilités

        Posté par  . Évalué à 4.

        il ne s'agit pas du verbe "voir" mais du terme "voire";
        Ca c'est une frappe un peu trop rapide (j'ai corrigé d'autres fautes avant de valider mais celle là est quand même passée)

        pour le reste: merci du renseignement, j'éviterai d'utiliser cette expression à l'avenir).

  • # conf?

    Posté par  (site web personnel, Mastodon) . Évalué à 4.

    Le port 22? Des autres machines alors! Parce que sinon personne ne pourra plus se connecter à A.

    Sinon, il y a peut-être un moyen d'interdire ssh en modifiant juste son fichier de config (/etc/ssh/ssh_config)

    La gelée de coings est une chose à ne pas avaler de travers.

    • [^] # Re: conf?

      Posté par  . Évalué à 1.

      merci pour vos remarques.

      Je pensais interdire le port 22 en "sortie"...
      Mais la solution d'Olivier me paraît inéressante : modifier les droits d'accès à ssh... à scp aussi du coup!

      et puis... je n'ai trouvé de solution avec /etc/ssh/ssh_config....

      merci encore.

      • [^] # Re: conf?

        Posté par  . Évalué à 3.

        cp /usr/bin/ssh ~/bin/ssh
        chmod a+x ~/bin/ssh

        --> retire aussi les droits en lecture; fais peut-être de même avec le compilateur pour ne pas qu'il se compile son ssh.

        ssh -L 2222:B:22 user@A
        (à côté)
        ssh -p 2222 user2@localhost # en réalité se connecte à B grâce au port forwarding

        --> bloque aussi le port 22 en sortie. Cela dit, quelqu'un pourrait vouloir lancer un serveur SSH sur un autre port s'il a un accès autre que via la machine A. Si tu es l'administrateur des machines dont tu veux bloquer l'accès, alors tu peux aussi bloquer en sortie les ports > 1024.

        • [^] # Re: conf?

          Posté par  . Évalué à 2.

          cp /usr/bin/ssh ~/bin/ssh
          chmod a+x ~/bin/ssh

          ce serait plutot chmod a-x non?

          --> retire aussi les droits en lecture; fais peut-être de même avec le compilateur pour ne pas qu'il se compile son ssh.

          Faudra qu'on m'expliqu l'intéret d'un compilateur sur ce genre de serveur .... a moins que ce soit une machine de developpement auquel cas il serait idiot d'interdire de compiler sur cette machine ....

          • [^] # Re: conf?

            Posté par  . Évalué à 1.

            Je montrais une manière de retrouver un SSH exécutable pour un utilisateur, d'où l'intérêt de retirer le droit de lecture. Une autre manière de retrouver un SSH fonctionnel est de le compiler, ou de télécharger un binaire par exemple via scp.

  • # plus simple...

    Posté par  . Évalué à 1.

    sur la machine il a 2 programmes
    le daemon qui attent la connexion
    le client qui permet de se connecter

    il suffirait d'enlever le client pour que la machine en question puisse recevoir les connexions mais ne puisse pas en etablir ailleurs.

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.