Аутентификация ssh в качестве паранойи

Вообще то, эта директива отвечает за адрес сервера на котором будет работать sshd, по умолчанию sshd работает на всех адресах, с помощью netstat это можно понять, а вам надо смотреть в сторону allow users/group etc.
пример:

AllowUsers root@192.168.1.32 admin

и man sshd_config

Спасибо.

Kostilo написал:

Можно ли сделать так чтобы пускали только с одного ip?

с помощью iptables - очень легко. Достаточно указать адрес источника и вуаля. Но, лучше этого не делать. Вдруг этот самый разрешенный IP будет тебе недоступен, а подрулить на сервере надо очень срочно...
Лучше тем же iptables "слегка" усложнить жизнь потенциальному взомщику. Например, так:

$IPT -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 20 -j DROP
$IPT -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --set -j ACCEPT

Или так:

# SSH клиент (22)
# Создаем цепочки SSH attack 
$IPT -N SSH_CHECK
$IPT -N SSH_ATTACKED
# Захватываем SSH-соединение
$IPT -A INPUT -p tcp -m state --state NEW --dport 22 -j SSH_CHECK
# Определяем цепочку SSH_CHECK
$IPT -A SSH_CHECK -m recent --set --name SSH
$IPT -A SSH_CHECK -m recent --update --seconds 300 --hitcount 2 --name SSH -j SSH_ATTACKED
$IPT -A SSH_CHECK -j ACCEPT
# Определяем цепочку SSH_ATTACKED
$IPT -A SSH_ATTACKED -j LOG --log-prefix "iptables SSH attack: "
$IPT -A SSH_ATTACKED -j REJECT --reject-with icmp-host-unreachable

Здесь - или нормально зашел с первой попытки. Или, если начнешь подбирать пароль, по попадаешь в бан. Можно повеселиться и даже с правильным паролем запускать юзера со второй попытки. А первую сбрасывать...
===========
Ну а если нужно привязать конкретного юзера к конкретному IP, тогда да, тогда параметр AllowUsers надо настраивать. Но администратор системы должен иметь возможность заходить в систему с любого IP.

А можно прописать в sshd_config после 3-ей попытки неправильного пароля - отключить подключения к серверу ssh на пару часов, хех... замучаются подбирать пароль...

"Kostilo" написал:

.Можно ли сделать так чтобы пускали только с одного ip?

А файл host.allow, host.delay для чего???

"KRUTO" написал:

А можно прописать в sshd_config после 3-ей попытки неправильного пароля - отключить подключения к серверу ssh на пару часов, хех... замучаются подбирать пароль...

...а можно «фейковый» sshd поднять, дать его «взломать», затем послать что-либо вроде: «Собирайтесь, за вами выехали!» ;)

"Lupo Alberto" написал:

а можно «фейковый» sshd поднять, дать его «взломать», затем послать что-либо вроде: «Собирайтесь, за вами выехали!»

Так и сделаю))))

"drBatty" написал:

фтоппку. минус мне лень ставить, хотя надо.такие дела.

видать опять осеннее обострение и критические дни начались...

"KRUTO" написал:

А файл host.allow, host.delay для чего???

А где они живут?Поиск в наутилусе недал ответа.

"Kostilo" написал:

А где они живут?

Создадите, будут в /etc ;)

"Lupo Alberto" написал:

Создадите, будут в /etc ad

ни надо ни чего создавать, они должны быть по умолчанию там.

...и да, не host.delay, а hosts.deny и не host.allow, а hosts.allow.

"i2ks" написал:

ни надо ни чего создавать, они должны быть по умолчанию там.

По-умолчанию, к примеру, в Funtoo есть только hosts.allow. Хотя, как правило, хватает одного из этих файлов.

"Lupo Alberto" написал:

По-умолчанию, к примеру, в Funtoo есть только hosts.allow. Хотя, как правило, хватает одного из этих файлов.

ТС не указал какой использует дистрибутив. :-)

"Lupo Alberto" написал:

.и да, не host.delay, а hosts.deny и не host.allow, а hosts.allow.

Прошу прощения за помарку...

"Kostilo" написал:

А где они живут?Поиск в наутилусе недал ответа

Я думал, что будешь искать в google

"KRUTO" написал:

Я думал, что будешь искать в google

В твоей файловой системе и такое есть? :D

[Kostilo],
Да, пишешь:

google /* -name '*hosts*' 

этот поиск и у тебя есть, если ты не знал...

KRUTO написал:

[Kostilo],
Да, пишешь:

text

google /* -name '*hosts*' 

этот поиск и у тебя есть, если ты не знал...

Расскажи что куришь, мне аж завидно стало)))

Особенно звёздочки умилили)))