SSHユーザーのアクセスを制限する方法

紹介する これは答えの拡張を求める質問です。SSHユーザーがSSHトンネルのみを許可するように制限する方法

問題の説明 参照の提案を実装してシェルアクセスなしでユーザーを作成しようとしましたが、そのユーザーの代わりにトンネルに接続できませんでした。

必要 保護されていないリモートコンピュータ（コンピュータA）がファイアウォールに戻ってリバーストンネルを起動するようにしたいと思います。機械Aは、ユーザー入力のないヘッドレスボックスです。それは野生にあり、おそらくファイアウォールの背後にあります。私のファイアウォール（MyFW）はLinuxシステムであり、CLIルートアクセス権を持っています。

MyFW で再びリバース SSH トンネルを開始するには、マシン A が必要です。通常、ローカルトンネルはMyFWの保護された側のユーザーシステムCに作成されます。ローカルSSHトンネルは、必要に応じてMyFWのリバーストンネルに接続されます。

誰かがマシンAに侵入してリバーストンネルを見つけたら、リバーストンネルを使用してMyFWトンネルエントリ（ポート）の外側のコンテンツにアクセスできないようにしたいと思います。

私は何を試しましたか？

私は数年間SSHとトンネリングを使用してきたので、彼らの一般的な構成と動作を理解しています。テストのために、コンピュータAとBの2台を机の上に設置した。どちらのシステムもLinuxシステムであり、どちらもファイアウォールはありません。目標は、動作するように最も簡単な設定を取得することです。

まず、マシンAからSSHキーを生成します。

ssh-keygen

いつものように。

MyFWとして機能するマシンBにユーザー「トンネル」を追加します。次のコマンドはsudoを使用して他のユーザーによって実行されます。

useradd tunnel -m -d /home/tunnel -s /bin/true

トンネルユーザーにはパスワードはありません。上記のコマンドはホームディレクトリを作成しませんでした。

mkdir /home/tunnel/.ssh

ユーザートンネル用のSSHキーを作成して/home/tunnelディレクトリに配置しました。

ssh-keygen

リモートシステムAの公開鍵をMyFWシステムBの/home/tunnel/.ssh/authorized_keysファイルに手動でコピーしました。

SSH構成ファイルに値を設定しました。

AllowTcpForwarding Yes
GatewayPorts yes
ExitOnForwardFailure=yes

この目的は、ファイアウォールにユーザーを作成し、ハッカーのアクセス試行をブロックしながらトンネルを作成して接続することです。実際のリモートシステムAには何の価値もないので、ハッカーがそれを傷つけても特別な問題はありません。

テスト

テストするために、リモートシステムAにローカルトンネルを設定し、システムAからMyFWにSSHを試みました。

これは一般的な「ユーザー」に適用されます。

$ ssh -L 9022:localhost:222 [email protected]
$ ssh localhost -p 9022

予想通り、最初のコマンドはトンネルを生成します。 2番目のコマンドは、SSHトンネルを介して他のコンピュータのCLIに接続します。

しかし、これは限られた「トンネル」では機能しません。

$ ssh -L 9222:localhost:222 [email protected]
$ ssh localhost -p 9222

CLIは接続が閉じられたことを報告します。問題が何であるかを示すシステムログには何も表示されません。

トンネリングされたユーザーにシェルがない場合、トンネリングされたSSHが機能すると予想する必要がありますか？この記事を書いておそらくそうではないかもしれないと思います。トンネルをどのようにテストしますか？

質問

私は何が間違っていましたか？ ？

誰かがこれを試してみて、作業指示やバグを投稿できますか？

制限されたユーザーでトンネルをテストする方法は？

編集する

ユーザートンネルアカウントはパスワードなしで作成されます。トンネルアカウントがロックされていると報告されているため、SSHを使用すると問題が発生します。

アカウントロックの修正はこのリンクにあります。。

パスワードハッキング（パスワードがないと復号できない）を防ぐためにパスワードなしでアカウントを作成するのは悪い考えであり、セキュリティを弱めるようです。