Страница 1 из 1

разрешить root ssh доступ только одному хосту (IP): решение

Добавлено: 2010-02-04 22:11:04
MarvinFS
некоторое время потратил на гугление, может кому пригодится.
задача: запретить всем заходить рутом по ssh, кроме одного хоста.

решение:

linux:
/etc/ssh/sshd_config
## изменить PermitRootLogin с no на yes
PermitRootLogin yes

##restart sshd
/etc/init.d/ssh restart

/etc/pam.d/sshd
##раскомментировать строчку
#account required pam_access.so

/etc/security/access.conf
##добавить строчку: значит запретить заходить рутом кроме как с локалхоста и с 192.168.0.6
## ВНИМАНИЕ! Настройки начинают действовать сразу же! Не обрубите себе доступ!
-:root:ALL EXCEPT LOCAL 192.168.0.6

freebsd:
/etc/ssh/sshd_config
## изменить PermitRootLogin с no на yes
PermitRootLogin yes

##restart sshd
/etc/rc.d/sshd restart

/etc/login.access
##добавить строчку: значит запретить заходить рутом кроме как с локалхоста и с 192.168.0.6
## ВНИМАНИЕ! Настройки начинают действовать сразу же! Не обрубите себе доступ!
-:root:ALL EXCEPT LOCAL 192.168.0.6

Re: разрешить root ssh доступ только одному хосту (IP): решение

Добавлено: 2010-02-05 10:04:06
evincar
А зачем логинится root'ом? sudo, su -c отменили?

Re: разрешить root ssh доступ только одному хосту (IP): решение

Добавлено: 2010-02-09 2:40:33
server801
ну вместо рута пользователя вписать.тож самое

Re: разрешить root ssh доступ только одному хосту (IP): решение

Добавлено: 2010-02-18 0:51:40
paix
зачем усложнять?

sshd_config:

Код: Выделить всё

AllowUsers root@myserverip
AllowUsers root@10.0.1.*
А еще лучше оставить ссш на фаерволе только для доверенных айпи.

В логине под рутом ничего плохого нет. Плохо в том, что куча юзеров имеют хреновые пароли для рута, и оставляют его висеть на мир на стандартном порту без ограничений по айпи. Про аудит логов они тоже нифига не знают.

у кого парануя - опенвпн в зубы и вперед.

Re: разрешить root ssh доступ только одному хосту (IP): реше

Добавлено: 2010-04-20 10:32:02
Mikola
в рутовом доступе по ssh плохо то что одну часть для входа потенциальный взломщик уже знает: root.
А если рутового доступа нет, надо еще угадать какой логин я себе придумал.

Re: разрешить root ssh доступ только одному хосту (IP): реше

Добавлено: 2010-04-20 13:32:53
paix
Mikola писал(а):в рутовом доступе по ssh плохо то что одну часть для входа потенциальный взломщик уже знает: root.
А если рутового доступа нет, надо еще угадать какой логин я себе придумал.

:) реально?
нет плохого и хорошего, есть кривые руки.

разрешить root ssh доступ только одному хосту (IP): решение

Добавлено: 2016-11-12 18:25:05
Alex Keda
мне вот понадобилось. по запросу выпала эта тема =)

в общем, у меня вышло так - /etc/ssh/sshd_config

Код: Выделить всё

# запрещаем вход рута глобально
PermitRootLogin no
# запрещаем toor в любом виде
DenyUsers       toor
# при совпадении с нужной сетью или локалхостом - разрешаем вход рута
Match Address 192.168.0.0/16,127.0.0.1
        PermitRootLogin yes

разрешить root ssh доступ только одному хосту (IP): решение

Добавлено: 2016-11-23 14:53:30
ti-ural
А если IP динамический, то каким образом можно решить проблему?

разрешить root ssh доступ только одному хосту (IP): решение

Добавлено: 2016-11-23 15:07:10
Alex Keda
никак.
не ходить рутом вообще.

им обычно и не ходят, но есть программы всякие разные ....
из-за них приходится такие тонкости изучать =)