Limitação de logins de raiz SSH a somente redes "seguras" no OpenSSH 4.x

Question

Queremos limitar o login root SSH a apenas algumas redes que consideramos "seguras" (VPN, etc.) sem impor a mesma condição a outras contas.

No OpenSSH 5.x, poderíamos usar o bloco match . No entanto, isso não é uma opção no OpenSSH 4.x que é o que estamos limitados no RHEL5.

Eu estava pensando que talvez isso pudesse ser feito usando o PAM. Alguém tem alguma ideia?

    

Answer 1

Depois de encontrar este artigo do Cyberciti.biz , comecei a procurar em pam_access . Esta é a solução que estou resolvendo:

Primeiro, criei um arquivo de acesso em /etc/security/sshd.conf . Eu escolhi fazer isso em vez de usar o padrão /etc/security/access.conf porque eu queria um arquivo de acesso dedicado a sshd . O arquivo é assim:

# cat /etc/security/sshd.conf
+:root:192.168.0.0/8
-:root:ALL

Confira man access.conf para mais informações sobre a sintaxe.

Em seguida, adicionei a seguinte linha na parte superior da pilha do PAM em /etc/pam.d/sshd :

auth       required     pam_access.so accessfile=/etc/security/sshd.conf

O motivo pelo qual usei auth em vez de account como feito no artigo Cyberciti.biz foi porque usar account type permitiu que os usuários verificassem a senha e então fossem rejeitados. Eu prefiro não verificar a senha. Confira man pam.conf para mais informações.

Isso funcionou perfeitamente.

    

Answer 2

Sim, o pam_access fará isso. Outras possibilidades incluem os tcp wrappers (o RHEL5 sshd suporta-os) e o iptables.

    

Answer 3

Nenhuma experiência com RHEL e amigos, mas eu provavelmente tentaria usar tcpwrappers primeiro - quero dizer, os arquivos /etc/hosts.allow e /etc/hosts.deny :

---8<--- hosts.deny ---8<---     
ALL: ALL

e

---8<--- hosts.allow ---8<---
ALL: localhost, 10.y.z.

Observe o implícito / 24; Não tenho certeza sobre a sintaxe dos blocos CIDR. Se você precisar, eu posso procurá-lo. Tente evitar o bloqueio usando esses truques.

PS: Você considerou o ARP spoofing, certo?