Ограничение количества подключенных по ssh пользователей

[komarov.yura]

Ребята, помогайте.
Задача такая. Есть сервер, к которому подключена система распределения квантовых ключей (в дальнейшем Железо). Необходимо реализовать удалённое подключение пользователей к серверу (как локальная, так и глобальная сеть). Как решение было принято сделать так: напишу графическую приблуду на сервер, которая будет работать с Железом, а пользователи по ssh будут подключаться к серверу и работать.
Появляется вопрос - как избежать множественного доступа к серверу?
Заранее спасибо

[AnrDaemon]

Появляется вопрос - В ЧЁМ ПРОБЛЕМА?
Что у вас за паранойя с "множественным доступом" у всех?

[komarov.yura]

Не-не-не. Это не паранойя. Просто с железкой одновременно может работать только один человек (если несколько будут вводить параметры в неё, то результаты будут не понятно какие)

[AnrDaemon]

Это проблема не железки и тем более не SSH, а софта, который данные в железку загоняет.

[komarov.yura]

Так вот чтобы избежать анализа\переписывания библиотек для железки я и хочу узнать: "как избавиться от множественного доступа пользователей определённой группы по ssh"?

[AnrDaemon]

Ещё раз - вопрос к SSH никакого отношения не имеет.
Блокируй саму софтину.
Рассказать, как APT работает, или не надо?

[komarov.yura]

Видимо не совсем объяснил принцип работы:
Юзер подключается по ssh c параметром -X к серверу. Его забрасывает в собственную директорию. В директории лежит скрипт запуска софта.
Поэтому мне и нужно, чтобы сам ssh контролировал кол-во пользователей. Скажем, если из группы hard-users подключился один, то второй сможет подключиться лишь тогда, когда первый отключится.

[AnrDaemon]

...Ты только себя слышишь что ли?

[ArcFi]

При запуске скрипта делать проверку:

Код: [Выделить]

pgrep script || scriptИли создавать файл блокировки.

[komarov.yura]

AnrDaemon, прости, не увидел твоего сообщения №5. А причём тут APT?

arcfi, а можно подробнее о pgrep. А то man почитал, но что-то не совсем понял как реализовать? Т.е. когда скрипт запущен кем-то из пользователей, то другие будут получать отлуп?

[ArcFi]

Код: [Выделить]

ssh -X server "pgrep baobab || baobab"

[AnrDaemon]

AnrDaemon, прости, не увидел твоего сообщения №5. А причём тут APT?

При том, что у (syn)apt*/ic реализована взаимно-исключающая блокировка базы пакетов.
Ни одна из программ семейства не начнёт работу, пкоа не получил исключительной блокировки файла-флага.

arcfi, а можно подробнее о pgrep. А то man почитал, но что-то не совсем понял как реализовать? Т.е. когда скрипт запущен кем-то из пользователей, то другие будут получать отлуп?

Там сначала более конкретная ссылка была.
man flock

[terrible_user]

Нету что ли у ссшд каких-нибудь параметров на этот счет
Ну и ладно,  давайте работать жестко 

Код: [Выделить]

iptables -A INPUT -p tcp --dport 22 -m connlimit  ! --connlimit-above 1 --connlimit-mask 0 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP


[komarov.yura]

Хм... Через iptables... Не плохо - не подумал об этом. Но ведь тогда будет только 1 пользователь по ssh. А можно в iptables чтобы один пользователь определённой группы? А то если пользователь работает, а админу нужно подключиться к серверу - ему что, отлуп будет выдаваться?

[terrible_user]

маску 24 значит лимит на хост будет

ну это так,  защита от 'дурака' получается


Во и параметр нашелся sshd

Код: [Выделить]

MaxSessions 10
но все ровно-  один работает а всем  остальным ждать