[unix] 사용자가 SSH 터널을 설정하도록 허용하지만 다른 것은 설정하지 않습니다.

우분투 11.10에서 -T를 사용하거나 사용하지 않고 전송되는 ssh 명령을 차단하고 scp 복사를 차단하면서 포트 포워딩을 허용 할 수 있음을 발견했습니다.

특히 나는 localhost : 6379에 바인딩 된 “somehost”에 redis-server가 있는데, ssh 터널을 통해 키 파일이 있고 ssh를 사용하는 다른 호스트와 안전하게 공유하고 싶습니다.

$ ssh -i keyfile.rsa -T -N -L 16379:localhost:6379 someuser@somehost

이렇게하면 “somehost”의 redis-server “localhost”포트 6379가 ssh 명령을 실행하는 호스트에 로컬로 나타나고 “localhost”포트 16379로 다시 매핑됩니다.

원격 “somehost”에서 내가 authorized_keys에 사용한 것입니다.

cat .ssh/authorized_keys   (portions redacted)

no-pty,no-X11-forwarding,permitopen="localhost:6379",command="/bin/echo do-not-send-commands" ssh-rsa rsa-public-key-code-goes-here keyuser@keyhost

no-pty는 터미널을 열려는 대부분의 ssh 시도를 수행합니다.

permitopen은 전달이 허용되는 포트를 설명합니다.이 경우 포트 6379는 전달하려는 redis-server 포트입니다.

command = “/ bin / echo do-not-send-commands”는 누군가 또는 무언가가 ssh -T 등을 통해 호스트에 명령을 보낼 수있는 경우 “do-not-send-commands”를 다시 표시합니다.

최근 Ubuntu man sshd에서 authorized_keys / 명령은 다음과 같이 설명됩니다.

command = “command”이 키가 인증에 사용될 때마다 명령이 실행되도록 지정합니다. 사용자가 제공 한 명령 (있는 경우)은 무시됩니다.

scp 보안 파일 복사를 사용하려는 시도는 “do-not-send-commands”라는 에코와 함께 실패합니다. sftp도이 구성에서 실패합니다.

이전 답변에서 만든 제한된 쉘 제안도 좋은 생각이라고 생각합니다. 또한 여기에 설명 된 모든 내용은 “man sshd”를 읽고 “authorized_keys”를 검색하여 확인할 수 있다는 데 동의합니다.

답변

#!/bin/bash
trap '' 2 20 24
clear
echo -e "\r\n\033[32mSSH tunnel started, shell disabled by the system administrator\r\n"
while [ true ] ; do
sleep 1000
done
exit 0

permitopen="host.domain.tld:443",no-pty,no-agent-forwarding,no-X11-forwardi
ng,command="/bin/noshell.sh" ssh-rsa AAAAB3NzaC.......wCUw== zoredache

command="svnserve -t",no-port-forwarding,no-pty,no-agent-forwarding,no-X11-forwarding [KEY TYPE] [KEY] [KEY COMMENT]

useradd sshtunnel -m -d /home/sshtunnel -s /bin/rbash
passwd sshtunnel

PATH=""

chmod 555 /home/sshtunnel/
cd /home/sshtunnel/
chmod 444 .bash_logout .bashrc .profile