Forum Debian Users Gang

A jakiś inny sposób?

A nie jest tak, że klucz generuje się spod użytkownika i wrzuca na serwer również do folderu użytkownika?

Czyli tym, którzy mają mieć klucze, generujesz je i wklejasz do

~/.ssh/authorized_keys

na serwerze, a pozostali logują się po haśle.

Przy czym user na kliencie to Twoi użytkownicy, a user na serwerze to ten user, do którego należą udostępniane pliki/foldery.

Czyli jeśli na serwerze udostępniam mój katalog domowy

 /home/ippo

to w moim

 /home/ippo/.ssh/authorized_keys

mam klucze publiczne wygenerowane na komputerach X, Y, Z. Oni logują się po kluczu, natomiast A, B, C - tylko po haśle. Kwestię dostępu do kompa w ogóle załatwiam przez

 /etc/hosts.allow

- tam wrzucam A, B, C, X, Y, Z.

Ostatnio edytowany przez ippo76 (2010-02-17 15:14:42)

Oczywiście klucze trzeba wygenerować na stacji klienta a potem wysłać na serwer przez

ssh-id-copy

Klucze są przechwoywane w

$HOME/.ssh/authorized_keys

chyba że konfig mówi inaczej. Można zmusić np SSH do takiego działania żeby tylko admin mógł dodawać klucze (umieścić powiedzmy AuthorizedKeysFile /etc/ssh/trusted). Wtedy user musi wysłać klucz do admina a on musi go wrzucić do tego pliku.  Mechanizm host.allow określi tylko maszyny z jakich się można łączyć nie ustawi natomiast polityki logowania. Żeby Użytkownik A mógł się logować tylko przy pomocy klucza RSA to:
[ul]
[*] Wygenerowanie klucza przez użytkownika na jego maszynie i jego dystrybucja na serwer http://dug.net.pl/tekst/65/ssh___klucze_rsa_(mozliw … a_bez_hasla)/
[*] Wpis w /etc/ssh/sshd_config z odpowiednio przygotowaną sekcją Match
[/ul]
Dla użytkownika B logowanie tylko przez hasło
[ul]
[*] Wpis w /etc/ssh/sshd_config z odpowiednio przygotowaną sekcją Match
[/ul]

Jedna mała uwaga!
Konfig jest prasowany do pierwszego trafienia sekcji Match. Sekcja Match nadpisuje ustawienia glonbalne serwera. Więc trzeba uważać bo można się łatwo pogubić mimo że konfig będzie wyglądał na poprawny!

Ostatnio edytowany przez winnetou (2010-02-17 15:25:40)

... czyli w moim scenariuszu musiałbym zablokować dostęp do ~/.ssh na serwerze, aby tylko admin miał dostęp do wprowadzania zaufanych kluczy;
a co do zasady - kto ma klucz - ma dostęp bez hasła (zakładam, że klucz jest bezhasłowy), kto nie ma - musi wpisywać hasło...

... a przez /etc/hosts.allow faktycznie określam "tylko" dostęp do serwera :)


... chyba że czegoś nie rozumiem ;)

ippo76 wybacz ale nie do końca wiem o jaki scenariusz chodzi  i co masz na myśli mówiąc o kategorii wagowej?

Ostatnio edytowany przez tomii (2010-02-17 15:43:19)

No to czekamy na opinie od innych.

Ale klucze generujemy na kliencie i przekazujemy na serwer do ~/.ssh/authorized_keys.

Czyli użytkownicy musieliby sami przesłać klucze publiczne do admina (bo dostęp do ~/.ssh/authorized_keys im blokujemy).

U mnie to łatwe, bo w sieci mam tylko swoje kompy i sam jestem userem :)

Ja się nie upieram, że mam rację; nawet chętnie przeczytam, w którym miejscu się mylę - będę bogatszy o tę wiedzę...

W moim sshd_config nie mam domyślnie wpisów match...

winnetou napisał(-a):

...kombinujecie z bercikiem....

A to mi bardzo pochlebia :)