Permitir al usuario configurar un túnel SSH, pero nada más

Probablemente quieras establecer el shell del usuario en el shell restringido. Desactive la variable PATH en ~ / del usuario.bashrc o ~/.bash_profile, y no podrán ejecutar ningún comando. Más adelante, si decide permitir que los usuarios ejecuten un conjunto limitado de comandos, como less o tail, por ejemplo, puede copiar los comandos permitidos a un directorio separado(como /home/restricted-commands) y actualizar la ruta para que apunte a ese directorio.

Además de la opción authorized_keys como no-X11-forwarding, en realidad hay exactamente una que está pidiendo: permitopen="host:port". Al usar esta opción, el usuario solo puede configurar un túnel al host y puerto especificados.

Para los detalles del formato de archivo AUTHORIZED_KEYS consulte man sshd.

Mi solución es proporcionar al usuario que solo puede estar haciendo un túnel, sin un shell interactivo, para establecer ese shell en /etc/passwd a /usr/bin/tunnel_shell.

Simplemente crea el archivo ejecutable /usr/bin/tunnel_shell con un bucle infinito .

#!/bin/bash
trap '' 2 20 24
clear
echo -e "\r\n\033[32mSSH tunnel started, shell disabled by the system administrator\r\n"
while [ true ] ; do
sleep 1000
done
exit 0

Completamente explicado aquí: http://blog.flowl.info/2011/ssh-tunnel-group-only-and-no-shell-please /

Puedo configurar el archivo authorized_keys con la clave pública para registrar en. De lo que no estoy seguro es de la información adicional que necesito restringe lo que esa cuenta puede hacer. Por ejemplo, sé que puedo poner comandos como:

no-pty,no-port-forwarding,no-X11-forwarding,no-agent-forwarding

Usted querría una línea en su archivo authorized_keys que se vea así.

permitopen="host.domain.tld:443",no-pty,no-agent-forwarding,no-X11-forwardi
ng,command="/bin/noshell.sh" ssh-rsa AAAAB3NzaC.......wCUw== zoredache 

Si desea permitir el acceso solo para un comando específico like como svn also también puede especificar ese comando en el archivo de claves autorizadas:

command="svnserve -t",no-port-forwarding,no-pty,no-agent-forwarding,no-X11-forwarding [KEY TYPE] [KEY] [KEY COMMENT]

De http://svn.apache.org/repos/asf/subversion/trunk/notes/ssh-tricks

Aquí tienes un buen post que me pareció útil: http://www.ab-weblog.com/en/creating-a-restricted-ssh-user-for-ssh-tunneling-only /

La idea es: (con el nuevo nombre de usuario restringido como "sshtunnel")

useradd sshtunnel -m -d /home/sshtunnel -s /bin/rbash
passwd sshtunnel

Tenga en cuenta que usamos rbash (restricted-bash) para restringir lo que el usuario puede hacer: el usuario no puede cd (cambiar directorio) y no puede establecer ninguna variable de entorno.

Luego editamos la variable env PATH del usuario en /home/sshtunnel/.profile a nada - un truco que hará que bash no encontrar ningún comando para ejecutar:

PATH=""

Finalmente no permitimos al usuario editar ningún archivo configurando los siguientes permisos:

chmod 555 /home/sshtunnel/
cd /home/sshtunnel/
chmod 444 .bash_logout .bashrc .profile

Ver este post sobre autenticar claves públicas.

Las dos cosas principales que debes recordar son:

1. asegúrese de que chmod 700 ~/.ssh
2. Anexar el bloque de clave pública a authorized-keys

Hice un programa en C que se ve así:

#include <stdio.h>
#include <unistd.h>
#include <signal.h>
#include <stdlib.h>
void sig_handler(int signo)
{
    if (signo == SIGHUP)
        exit(0);
}

int main()
{
    signal(SIGINT, &sig_handler);
    signal(SIGTSTP, &sig_handler);

    printf("OK\n");
    while(1)
        sleep(1);
    exit(0);
}

Establecí el shell del usuario restringido a este programa.

No creo que el usuario restringido pueda ejecutar nada, incluso si lo hace ssh server command, porque los comandos se ejecutan usando el shell, y este shell no ejecuta nada.

Generará una clave en la máquina del usuario a través del cliente ssh que esté utilizando. pUTTY, por ejemplo, tiene una utilidad para hacer esto exactamente. Generará tanto una clave privada como pública.

El contenido del archivo de clave pública generado se colocará en el archivo authorized_keys.

A continuación, debe asegurarse de que el cliente ssh esté configurado para usar la clave privada que generó la clave pública. Es bastante sencillo, pero ligeramente diferente dependiendo de la cliente siendo utilizado.