Limiter ssh au réseau local, sauf pour l'utilisateur git

Vous êtes à la recherche de pam_access Avec elle, vous pouvez configurer sshd pour accepter l'authentification de tous les utilisateurs du réseau local et de l'utilisateur git depuis n'importe où.

Quelque chose comme :

+ : ALL : 10. crond :0 tty1 tty2 tty3 tty4 tty5 tty6
+ : git : ALL
- : ALL : ALL

dans votre access.conf devrait faire l'affaire

Vous pouvez utiliser le fichier sshd_config pour contrôler l'accès par utilisateur/hôte et par réseau ; en outre, vous pouvez utiliser iptables ainsi que tcpwrappers. Je vous recommande d'utiliser tcpwrappers pour contrôler l'accès dans ce cas en plus d'iptables. Utiliser iptables :

Utilisez l'option -s de iptables. Elle accepte une IP de la forme nnn.nnn.nnn.nnn ou avec un masque (nnn.nnn.nnn.nnn/nn.nnn.nnn.nnn ou nnn.nnn.nnn.nnn/nn). Ainsi, pour autoriser par exemple les connexions en provenance de nnn.nnn.nnn.*, vous pouvez écrire

iptables -A INPUT -s nnn.nnn.nnn.0/255.255.255.0 -i em1 -p tcp --dport XXXXX -m state --state NEW,ESTABLISHED -j ACCEPT

o

iptables -A INPUT -s nnn.nnn.nnn.0/24 -i em1 -p tcp --dport XXXXX -m state --state

Si vous ne pouvez pas créer un masque de réseau, je crains que vous ne deviez dupliquer la règle pour chacune des adresses IP que vous souhaitez autoriser à se connecter à votre serveur.

En utilisant des wrappers tcp, ouvrez /etc/hosts.allow pour autoriser l'accès :

sshd: 192.168.0.0/255.255.255.0 1.2.3.4

Au-dessus, il autorisera votre LAN et une seule IP WAN qui est 1.2.3.4 dans ce cas. et ensuite vous pouvez simplement refuser l'accès à tous les autres hôtes.

Pour refuser l'accès :

Ouvrez le fichier /etc/hosts.deny dans un éditeur de texte. Ce fichier contient la liste des hôtes/IP qui ne sont pas autorisés à accéder au système. Pour refuser ssh pour tous :

sshd: ALL

Veuillez consulter les documents suivants Référence de TCP Wrapper sur le site web de RedHat pour plus de détails.

Je vous recommande d'utiliser plusieurs couches de sécurité afin de rendre votre serveur plus sûr et, bien sûr, d'utiliser l'authentification par clé et mot de passe pour ssh.

Pam_access pourrait être une option, mais je ne l'utilise que si j'ai besoin de restreindre les accès ssh et console.

Pour ssh, la ligne de configuration suivante devrait fonctionner pour vous :

AllowUsers git *@localhost

Il est assez simple de verrouiller la boîte avec iptables..... si tout ce que vous voulez est de supprimer le trafic, sauf pour une seule ip pour la gestion ssh, et le réseau local peut frapper tcp/80 (pour http)

iptables -F
iptables -A INPUT -P tcp -p 22 -s [votre-adresse-ip]/32 -j ACCEPT
iptables -A INPUT -P tcp -p 80 -s [your-local-network-addr]/[your-local-netmask] -j ACCEPT
iptables -A INPUT -j DROP

Je ne sais pas exactement quelle est votre adresse réseau interne / masque de réseau interne, mais si le réseau interne est un /16 et que l'adresse réseau est 192.168.0.0, cela peut permettre à des adresses IP privées non-rfc d'accéder au port 80 (en supposant que cette configuration se trouve sur un périphérique du périmètre avec un trafic IP entrant direct).

vous pouvez et devez avoir des règles iptables plus élaborées / spécifiques, mais au minimum, ceci devrait fonctionner