SSH question ...

Zdraveite. Moje li niakoi da mi obiasni kak to4no da restriktna za dostyp SSH , koito vyrvi s RedHat 7.0, za opredeleni IP ta ?

10X Forward

Death Team Above

man sshd

ne znam koia versia vurvi sus 7.0, no po princip e taka:
v config file-a (v zavisimost ot versiata se kazva po razlichen nachin, no vinagi e v /etc ili subdir na /etc) ima slednoto:
AllowHosts izbroiavash.tuka.razni.hosts, razdeleni.s.zapetaia
DenyHosts i.tuk.pak.izbroiavash.razni.hosts, pak.razdeleni.s.zapetaia

posle restart na sshd-to

10X, oba4e v sshd.config faila vyobshte niama takiva parametri ..., dali moga da gi dobavia ? + tova PC to e dale4 ot men i ako neshto se skape, she stane mnoogo losho.
Dalia ako v hosts.deny zabrania vsi4ki, a v hosts.allow izredia i tezi IP ta koito sa a vunshnata mreja ( Inet ) she si resha problema ??
Oshte edin vypros, moga li da smenia porta na SSHD ot 22 na niakoi drug, i dali ima niakakvi osobennosti ?

10X forward.

Death Team Above

ssh ne zachita hosts.allow i deny (imam predvid tezi files koito sa v /etc)
mojesh da smenish porta, pak ot tozi file
a inache - taka kato remote zabraniavash/razreshavash neshto vinagi ima risk da si otrejesh dostupa :>
po dobre pusni vremenno telnet dokato opravish ssh-a i posle pak go spri

dai allow na wsichki znam che e riskowano (we pak ne se znae ot kude shte se naloji administrirane), no za nai-nowoto sshd 2.1.2 (misla beshe) ne sa izwestni bugowe ot dosta wreme - tyj che ne se pritesnqwai. Oshte po malko ako smenish porta - sloji go nqkade "wisoko"(naprimer 33343 ;) i edwa li shte imash problemi s crackeri ;))

като дадеш достъп отвсякъде и някой знае потребителите на въпросния хост, като нищо може да се досети за някоя парола. Виж, ако единствените акаунти, с които можеш да се log-ваш имат сериозни пароли, наистина няма причина да ограничаваш достъпа. Пък ако и тогава те е страх, можеш да си настроиш системата да ти праща sms при всяко log-ване в нея.

loshoto s podobna taktika na zakachane na visoki portove e slednoto: portovete nad 1024 ne sa priviligirovani i vseki user moje da se zakachi na tia, sega si predstavi che local user uspee da grumne sshd-to po niakakuv nachin (az se seshtam za niakolko vednaga) i sled tova pusne programka koiato sluhti na tozi port - vsichko tova bez root privilegii - shte ti obera parolite za otricatelno vreme :)

$ man sshd
*******
FILES

*******

/etc/hosts.allow, /etc/hosts.deny
If compiled with LIBWRAP support, tcp-wrappers access controls
may be defined here as described in hosts_access(5).

...може да се гръмне sshd без да си root? (аз пък се сещам какво ще ме спаси и в този случай, но ти ми кажи)

...пазете дърветата, не са ваши...

че няма да си отрежеш клона на който седиш, пусни друг ssh демон на друг привилегирован порт и с друг конфигурационен файл, изобщо, и като се включиш през него можеш да си настроиш другия

...пазете дърветата, не са ваши...

mi kato ti iziam pametta i diska :)
tova mojed a go napravi vseki ako ne sa setnati limits na procesite/userite

govoria za default, inache mojesh da go pusnesh prez kudeto si pojelaesh

iasno, prosto tva e edin nachin choveka da napravi kvoto iska.