“PermitRootLogin no” em sshd config não impede 'su -'

Question

O problema é que eu realmente não sei se estou confuso com o PermitRootLogin ou se não está funcionando bem. Eu coloco no sshd_config, e quando me conecto via ssh, eu posso fazer su - para ter permissões de root. Então, não deveria PermitRootLogin no me permitir isso?

    

Answer 1

PermitRootLogin apenas configura se o root pode efetuar login diretamente por meio do ssh (por exemplo, ssh [email protected] ). Quando você faz o login usando uma conta de usuário diferente, o que você faz no seu shell não é influenciado pela configuração do sshd .

De man sshd_config :

 PermitRootLogin
     Specifies whether root can log in using ssh(1).  The argument must be “yes”, “without-password”, “forced-commands-only”, or “no”.  The default is “yes”.
     […]
     If this option is set to “no”, root is not allowed to log in.

No entanto, você pode usar seu login.defs ou pam config para limitar quais usuários podem usar o comando su : Falha do servidor: Desativar su na máquina

    

Answer 2

com PermitRootLogin, sim você pode diretamente ssh como root.

ssh root@destination

Se você quiser desativar sudo su para acesso root:

Vamos dizer que você tem uma lista de usuários (sudoers) que podem fazer o sudo no destino. Esta lista é mantida no arquivo / etc / sudoers.

1) Permitir ssh para usuários que não possuam permissões sudo em / etc / ssh / sshd. conf:     AllowUsers sudoers

2) Diretiva DenyUsers em /etc/ssh/sshd.conf:     DenyUsers não perdedores