ssh

[ubnt]

доброго времени суток!
компьютер подключен к интеренет. настроен доступ по ssh. необходимо ограничить этот доступ снаружи, т.е чтобы извне нельзя было зацепиться по ssh, а только из локальной сети в которой он находится. подскажите какими средставми это реализовать.

[Гарри Кашпировский]

Для начала, поиском

[Frank]

man hosts_access

[ubnt]

если я правильно понял, то в hosts.allow

sshd : айпи с которого разрешен доступ

все так примитивно?

[Frank]

Тебя это расстраивает?

[ubnt]

если честно - то да 

[rapidsp]

если честно - то да 

Никто не мешает загнаться по iptables
Оно интереснее и опять же сексу больше

[PbI6A]

Лучше наверно выбирать интервал для доступа из ЛС, чем на конкретный адрес... Хотя, если контора кишит хакерами, может и не стоит

[ubnt]

ну я изначально с iptables и заморочался...
а вот такой вопрос, в чем разница как это реализовано, через iptables или как сейчас?
Пользователь решил продолжить мысль 01 Декабря 2009, 19:10:05:PbI6A:
не принципиально

[Tokh]

чтобы извне нельзя было зацепиться по ssh, а только из локальной сети

Есть файл /etc/ssh/sshd_config
Есть команда man sshd_config
В мане, либо в поисковике, описана опция ListenAddress и опция AllowUsers. Вот про эти две и читайте, нужна первая, вторая - по вкусу. Заодно посмотрите на PermitRootLogin, может захочется поставить там no вместо дефолтного yes.

[Frank]

Somewhere there out there, мимо - эти опции либо позволят соединиться откуда угодно, либо не позволят соединиться Выбрать, с каких айпи можно соединяться, не получится, если только наружный адрес и внутрисетевой не разные - а я нутром чую, что у юзера PPPOE aka VPN, и внешний адрес так же и внутрисетевой.

[ubnt]

2Somewhere there out there:

/etc/ssh/sshd_config и правда тут совсем не к месту, там все ок

[MastaKuper]

Включаем файрволл

sudo ufw enable

Проверяем что он включен

sudo ufw status verbose

Видим политику файрволла по умолчанию (должно быть - разрешены исходящие инициированные соединения, и запрещены все входящие)

Ну и правило добавляем

sudo ufw allow 22 from (Ваша локальная сеть в CIDR адресации, например 192.168.0.1/24)

И потом снова

sudo ufw status verbose

Убеждаемся что правило включено, наслаждаемся.

Пишу все по памяти, если что - man ufw.

[ubnt]

ну хорошо, третий вариант появился
так в чем же все таки принципиальная разница всех этих трех вариантов?

[Frank]

в механизме работы