SSH so konfigurieren, dass die Portweiterleitung zulässig ist, jedoch keine Befehle für einen bestimmten Schlüssel?

8

Also habe ich einen öffentlichen Schlüssel hinzugefügt authorized_keys. Wie kann ich es einschränken, damit es Ports weiterleiten kann, aber möglicherweise keine Shell hat?

security ssh thelsdj
quelle

Antworten:

10

Sie müssen ein no-ptySchlüsselwort vor Ihren Schlüssel setzen, damit es so aussieht:

no-pty ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABBACzbcwCZNaN3HhHmpnaVrfZlNJ0HhPnOqEj
k2llms1OOPnEXetIlZuJw0UXbyMbhQbBl/E2wxXvXvF+jyLRR5yN6kBydM4LhjC0ej0PcH839vXd
uwJpDFjPw3s7r0VOhU1WRyk6Da6rX6shzabhQioIm3MHCjNOdywPb0k1cTj4yOxoOCOqGjmXK0
xxzTd+ZjTJqQGWzZ+8L8cVtKmU8kspYlCdhGWSv0Den36OsScnWTBn8A3X3lVJB5NkEm
BM1yKX4F6BhhD317VensEUu031PtFULeSF97IxDPmK36OFz9TPSf4d8Hp3BqtysqUlbWfEhYdHXj
+1Mn4xXZKiZhBh1DX youruser@yourhome

(Dies ist alles in einer einzigen Zeile, ich habe die Zeilenumbrüche zur besseren Lesbarkeit hinzugefügt).

UPDATE: Wenn Sie die Ausführung von Remotebefehlen verhindern möchten, müssen Sie Folgendes hinzufügen: command="/bin/false"

no-pty,command="/bin/false" ssh-rsa ...
cstamas
quelle
4
Dies schränkt die Möglichkeit einer Remote-Anmeldung ein und verhindert nicht die Remote-Ausführung von Befehlen. Src: marc.info/?l=openssh-unix-dev&m=111143581515782&w=2
mctylr
1
@mctylr: das war nicht Teil der Frage. Aber Sie haben Recht, vielleicht war sich das OP dessen nicht bewusst, also habe ich das der Antwort hinzugefügt. (+1)
cstamas
1
Erwähnenswert ist auch, dass Sie 'ssh -N' verwenden müssen, um den Tunnel aufrechtzuerhalten, wenn sich am Remote-Ende keine Shell befindet.
Mike Pountney
1

Mann sshd

Abschnitt AUTHORIZED_KEYS DATEIFORMAT . Sie können einschränken, auf welche Benutzer weiterleiten können, indem Sie einfach die Ports und Hosts hinzufügen, die Sie zulassen möchten, z

allowopen = "192.0.2.1:80"

Sie können auch einschränken, von wo aus der Benutzer eine Verbindung herstellt, welche Befehle ausgeführt werden können usw.


quelle
1

Ich würde mir die Verwendung von scponly ansehen . Ich vermute, dass es eher für die Portweiterleitung als für den Nur-SCP / SFTP-Zugriff verwendet werden kann. Es soll den Benutzer daran hindern, sich über ssh anzumelden oder Befehle auszuführen.

Der andere Faktor, den Sie möglicherweise benötigen oder möchten, um sshd in einer chroot -Umgebung zu verwenden, finden Sie hier einige Anweisungen zum Einrichten von sftp mit chroot. Sie sollten in der Lage sein, sie ziemlich einfach anzupassen.

Ich hoffe, das hilft Ihnen, Ihre Lösung zu finden.

mctylr
quelle
scponlyscheint zu github.com/scponly/scponly gewechselt zu sein . Ihr Link gibt eine 404 .::
Bill Weiss