Diferències

Ací es mostren les diferències entre la revisió seleccionada i la versió actual de la pàgina.

Enllaç a la visualització de la comparació

--- linux:ssh:config [10/02/2016 08:41] – creado mate
+++ linux:ssh:config [07/05/2025 05:07] (actual) – [configuración ssh server (/etc/ssh/sshd_config)] mate
@@ Línia 1: / Línia 1: @@
-= configuración
+= configuración ssh server (/etc/ssh/sshd_config)
+  * comprobar si hay restricciones en IPTABLES ''/etc/sysconfig/iptables''
-comprobar si hay restricciones en IPTABLES (/etc/sysconfig/iptables)
+  * se puede limitar el uso que se puede hacer de SSH en el siguiente fichero: ''/etc/ssh/sshd_config''
+  * Opciones destacadas:
-se puede limitar el uso que se puede hacer de SSH en el siguiente fichero:''/etc/ssh/sshd_config''
+    * **Protocol 2**
-  * //Protocol 2//
+    * **PermitRootLogin** {yes|no|forced-commands-only}
-  * //AllowUsers// solo los usuarios que se pueden conectar vía SSH
+    * **PasswordAuthentication** {yes|no}: uso o no de contraseña (forzar uso de keys)
-  * //DenyUsers// a los usuarios que NO se pueden conectar vía SSH
+    * **IgnoreRhosts** {yes|no} evita la lectura de los ficheros ~/.rhosts y ~/.shosts
-  * //PermitRootLogin// {yes|no|forced-commands-only}
+    * **Banner** /etc/fichero
-  * //IgnoreRhosts// {yes|no} evita la lectura de los ficheros ~/.rhosts y ~/.shosts
+    * **Port 22**
-  * //PermitRootLogin// {yes|no}
+    * **ListenAddress 192.168.1.1**
-  * //Banner// /etc/fichero
+    * **PermitEmptyPasswords** {yes|no}
-  * //Port 22//
+    * **ClientAliveInterval <SEC>**
-  * //ListenAddress 192.168.1.1//
+    * **ClientAliveCountMax <#>** número de veces que comprueba actividad, según intervalo de **ClientAliveInterval**
-  * //PermitEmptyPasswords// {yes|no}
+    * **LogLevel INFO**
-  * //LogLevel INFO//
+    * **AllowUsers** solo los usuarios que se pueden conectar vía SSH
-  * AllowGroups
+    * **DenyUsers** a los usuarios que NO se pueden conectar vía SSH
-  * DenyGroups
+    * AllowGroups
+    * DenyGroups
+  * curso lpic2: [[info:cursos:pue:lpic2-2021:s14#ssh]]
   * [[http://www.cyberciti.biz/tips/linux-unix-bsd-openssh-server-best-practices.html|Fuente]]
   * [[http://www.debian-administration.org/articles/590|chroot con SSH]]
   * [[http://en.wikipedia.org/wiki/Port_knocking|Port knocking]]
   * [[http://www.debian-administration.org/articles/268|Multiple-port knocking Netfilter/IPtables only implementation]]
+== restricciones
+=== agent forwarding
+<code ; /etc/ssh/sshd_config>
+Match User that-restricted-guy
+  AllowTcpForwarding yes
+  X11Forwarding no
+  AllowAgentForwarding no
+  ForceCommand /bin/false
+</code>
+<code ; /etc/ssh/sshd_config>
+Match User even-more-restricted-guy
+  PermitOpen 127.0.0.1:12345
+  X11Forwarding no
+  AllowAgentForwarding no
+  ForceCommand /bin/false
+</code>
+  * Solo permite forward de conexiones a 127.0.0.1
+  * para evitar la desconexión y mantener la conexión de reenvio abierta, deberá usar **-N** en su conexión **ssh**:<code bash>ssh -L 12345:127.0.0.1:12345 -N even-more-restricted-guy@insert-your-machine</code>
+<code ; /etc/ssh/sshd_config>
+Match Group                     nicepeople
+    PubkeyAuthentication        yes
+    PasswordAuthentication      yes
+    PermitEmptyPasswords        no
+    GatewayPorts                no
+    ChrootDirectory             /opt/dummy_location/%u
+    ForceCommand                internal-sftp
+    AllowTcpForwarding          yes
+        PermitOpen              192.168.0.8:22
+        PermitOpen              192.168.0.5:8080
+    # Or leave out the PermitOpen to allow forwarding to anywhere.
+    HostbasedAuthentication     no
+    RhostsRSAAuthentication     no
+    AllowAgentForwarding        no
+    Banner                      none
+</code>
+Restringir acceso a la red:<code bash>
+/sbin/iptables -I OUTPUT -m owner --gid-owner 500 -j REJECT
+/sbin/iptables -I OUTPUT -m owner --gid-owner 500 -m tcp -p tcp -d 192.168.0.0/24 -j ACCEPT
+</code>
+/via: [[https://unix.stackexchange.com/questions/14312/how-to-restrict-an-ssh-user-to-only-allow-ssh-tunneling]]\\
+/more: [[https://superuser.com/questions/229743/howto-disable-ssh-local-port-forwarding]]