[RISOLTO] permettere accesso ssh solo su rete locale

[danix]

Ciao a tutti,
mi date qualche dritta riguardo l'argomento in oggetto?? La mia situazione è la seguente, ho un pc fisso con 2 schede di rete, eth0 collegata al modem (e quindi ad internet) e eth1 la uso per far comunicare il fisso con il laptop. Attualmente non ho ssh attivo sul fisso perchè non ne ho la necessità, vorrei attivarlo rendendo però disponibile la connessione solo tramite la rete locale, mi dite come potrei fare??


Grazie mille a tutti...

[Blizzard]

Ignorante in materia ma potresti settare una regola opportuna con iptables per permettere il traffico sulla porta 22 (ma diciamo che l'hai cambiata) solo agli indirizzi 192.168.0.0/24 (o quale sia la tua classe di ip)

ciao
Gio

[targzeta]

Codice: Seleziona tutto

man sshd_config

Direttiva " ListenAddress". Penso possa fare al caso tuo.

Spina

[danix]

Ho impostato sshd_config con:

Codice: Seleziona tutto

ListenAddress 192.168.7.100:8022

ip:porta del client da cui voglio accettare connessioni e adesso non riesco più a connettermi mentre prima con ListenAddress commentato riuscivo a connettermi...

Tra l'altro ho notato una cosa, nonostante io abbia avviato sshd (/etc/rc.d/rc.sshd start) questo non mi compare in nmap, mi sa che non è normale, infatti se provo a stoppare sshd mi dice:

Codice: Seleziona tutto

sshd: no process killed

any ideas??

[JohnnyMnemonic]

Due domande stupide
Perchè indichi la porta in ListenAddress e non con la direttiva Port ?
Indichi la porta 8022 a ssh quando tenti di connetterti?

[targzeta]

Non conosco nmap ma puoi sempre dare un:

Codice: Seleziona tutto

netstat -n --tcp --listen

per controllare se il server sshd è attivo sulla porta da te indicata. Se non è attivo vuol dire che hai sbagliato qualche cosa .

Codice: Seleziona tutto

rc.sshd start

non ti riporta nessun errore?

Spina

[danix]

Perchè indichi la porta in ListenAddress e non con la direttiva Port ?

cercavo di capire le istruzioni del man ho provato anche senza indicarla in quella direttiva e il risultato non è cambiato... comunque nella direttiva Port la indico

Indichi la porta 8022 a ssh quando tenti di connetterti?

yes sir... ho messo in ssh_config (sul client) la direttiva Port 8022...


Il fatto è che sshd sembra non avviarsi...

@spina:
ho provato a lanciare netstat come mi hai detto e in effetti non mi risulta niente in ascolto sulla 8022... però rc.sshd non lamenta problemi... e nemmeno lanciando a mano /usr/sbin/sshd mi da errori...

[danix]

commentando la direttiva ListenAddress sshd funziona, infatti mi sono connesso...

nel man dice che la direttiva si usa così:

Codice: Seleziona tutto

ListenAddress host|IPv4_addr|IPv4_addr
ListenAddress host|IPv4_addr:port
[...]

ma non mi è molto chiaro... se io scrivo:

Codice: Seleziona tutto

ListenAddress 192.168.7.100

non sto mettendo il parametro host, o mi sbaglio?? Se è così che dovrei metterci?? 127.0.0.1?? localhost??
Si è capito che non ho molto chiaro il concetto??

[conraid]

Naturalmente do per scontato che l'IP sia giusto

Prova con

Codice: Seleziona tutto

/usr/bin/sshd -Dde

così non fa il detach e va in debug-mode, e vedi se ti dice qualcosa

[conraid]

commentando la direttiva ListenAddress sshd funziona, infatti mi sono connesso...

nel man dice che la direttiva si usa così:

Codice: Seleziona tutto

ListenAddress host|IPv4_addr|IPv4_addr
ListenAddress host|IPv4_addr:port
[...]

ma non mi è molto chiaro... se io scrivo:

Codice: Seleziona tutto

ListenAddress 192.168.7.100

non sto mettendo il parametro host, o mi sbaglio?? Se è così che dovrei metterci?? 127.0.0.1?? localhost??
Si è capito che non ho molto chiaro il concetto??

Devi metterci l'IP dell'interfaccia in ascolto, se metti 127.0.0.1 non accederai dall'esterno, io ho

Codice: Seleziona tutto

ListenAddress 192.168.3.1

[danix]

forse ci sono quasi... fatemi capire ancora una cosa, nella direttiva ListenAddress devo specificare l'ip del client da cui accettare connessioni o l'ip dell'interfaccia locale da cui accettare connessioni??

[JohnnyMnemonic]

Ti ha risposto Conraid, la seconda che hai detto

[danix]

ok, infatti ho risolto... quindi adesso posso stare tranquillo che dalla eth0 non arriveranno connessioni, vero?? in ogni caso ho disabilitato l'accesso root e l'accesso tramite password... si entra solo tramite chiave rsa... già che ci sono vi chiedo, posso fare altro per rendere ancora più sicuro il tutto??

[targzeta]

...posso fare altro per rendere ancora più sicuro il tutto??

Spegnere il computer

Spina

[danix]

ok, ricevuto il messaggio...


Grazie ancora a tutti per l'aiuto...