разрешить root ssh доступ только одному хосту (IP): решение

[MarvinFS]

некоторое время потратил на гугление, может кому пригодится.
задача: запретить всем заходить рутом по ssh, кроме одного хоста.

решение:

linux:
/etc/ssh/sshd_config
## изменить PermitRootLogin с no на yes
PermitRootLogin yes

##restart sshd
/etc/init.d/ssh restart

/etc/pam.d/sshd
##раскомментировать строчку
#account required pam_access.so

/etc/security/access.conf
##добавить строчку: значит запретить заходить рутом кроме как с локалхоста и с 192.168.0.6
## ВНИМАНИЕ! Настройки начинают действовать сразу же! Не обрубите себе доступ!
-:root:ALL EXCEPT LOCAL 192.168.0.6

freebsd:
/etc/ssh/sshd_config
## изменить PermitRootLogin с no на yes
PermitRootLogin yes

##restart sshd
/etc/rc.d/sshd restart

/etc/login.access
##добавить строчку: значит запретить заходить рутом кроме как с локалхоста и с 192.168.0.6
## ВНИМАНИЕ! Настройки начинают действовать сразу же! Не обрубите себе доступ!
-:root:ALL EXCEPT LOCAL 192.168.0.6

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[evincar]

А зачем логинится root'ом? sudo, su -c отменили?

[server801]

ну вместо рута пользователя вписать.тож самое

[paix]

зачем усложнять?

sshd_config:

Код: Выделить всё

AllowUsers root@myserverip
AllowUsers root@10.0.1.*

А еще лучше оставить ссш на фаерволе только для доверенных айпи.

В логине под рутом ничего плохого нет. Плохо в том, что куча юзеров имеют хреновые пароли для рута, и оставляют его висеть на мир на стандартном порту без ограничений по айпи. Про аудит логов они тоже нифига не знают.

у кого парануя - опенвпн в зубы и вперед.

[Mikola]

в рутовом доступе по ssh плохо то что одну часть для входа потенциальный взломщик уже знает: root.
А если рутового доступа нет, надо еще угадать какой логин я себе придумал.

[paix]

в рутовом доступе по ssh плохо то что одну часть для входа потенциальный взломщик уже знает: root.
А если рутового доступа нет, надо еще угадать какой логин я себе придумал.

реально?
нет плохого и хорошего, есть кривые руки.

[Alex Keda]

мне вот понадобилось. по запросу выпала эта тема

в общем, у меня вышло так - /etc/ssh/sshd_config

Код: Выделить всё

# запрещаем вход рута глобально
PermitRootLogin no
# запрещаем toor в любом виде
DenyUsers       toor
# при совпадении с нужной сетью или локалхостом - разрешаем вход рута
Match Address 192.168.0.0/16,127.0.0.1
        PermitRootLogin yes

[ti-ural]

А если IP динамический, то каким образом можно решить проблему?

[Alex Keda]

никак.
не ходить рутом вообще.

им обычно и не ходят, но есть программы всякие разные ....
из-за них приходится такие тонкости изучать