ubuntuusers.de

Hallo

Ich würde gerne sshd so konfigurieren, dass root Zugriff nur von den subnetzen "10.1." und "192.168.1." möglich ist.

Auf gewissen Servern habe ich denyhosts installiert aber da finde ich nichts wie ich
über denyhosts sowas konfigurieren könnte.

Dann habe folgenden Link gefunden http://www.cyberciti.biz/tips/openssh-root-user-account-restriction-revisited.html
und nach dieser Anleitung versucht PAM zu konfigurieren. Leider aber ohne Erfolg.

# cat /etc/security/access.conf
+ : root : 10.1. 192.168.1.
#

"account required pam_access.so" hinzugefügt

# cat /etc/pam.d/sshd
#%PAM-1.0
auth include system-auth
account required pam_nologin.so
account include system-auth
password include system-auth
session optional pam_keyinit.so force revoke
session include system-auth
session required pam_loginuid.so
account required pam_access.so
#

Irgendwie geht das aber nicht. Keine Ahnung warum???
Ich kann mich trotzdem von einem anderen Server (172.16.16.23) aus demselben subnetz anmelden.

Was muss ich da noch einstellen?

Danke für die Hilfe

bb

Möchtest du das es nur von den internen Netzen geht, oder sollen andere User auch von draußen drauf kommen?

Warum überhaupt Root? Wäre es nicht sinnvoller sich als normaler User anzumelden, und dann sudo zu nehmen?

mfg Betz Stefan

weil deine acess.conf völlig falsch ist.

hier mal ein beispiel:

- : root : ALL
+ : root : 192.168.1.0/24

@ Team-Lab22.de

Habe das so gemacht wie du es vorgeschlagen hast. Aber leider ohne Erfolg.
Was mache ich da falsch?

/etc/pam.d/sshd
/etc/security/access.conf

mehr Dateien sind da nicht involviert? Oder?
In sshd ist pam default aktiviert?

Keine Ahnung was ich da machen müsste.

Beispiel:

# cat /etc/security/access.conf
- : root : ALL
+ : root : 10.1.4.0/23
#

Der Server hat die z.B. die IP 172.16.16.10/24.
Wenn ich jetzt mit einem Server (172.16.16.11/24) aus
dem selben subnetz eine Verbindung per ssh aufbaue,
dann kann ich mich trotzdem als root anmelden???
Das müsste eigentlich gar nicht mehr möglich sein oder?

Danke

bb

was sagt denn die /var/log/messages ??