我有几台运行Debian Lenny的服务器.
就在最近,我发现了针对ssh的PermitRootLogin = forced-commands-only指令,它允许我使用ssl密钥以root身份运行脚本化rsync,而不启用更通用的root ssh访问.
然而,上周这停止了工作 – 它出现在我的所有服务器上 – 我无法弄清楚原因.
PermitRootLogin = yes,一切都继续正常,但我宁愿阻止root登录 – 特别是通过密码.
它停止工作的那天,我们在我们的一个交换机上重新配置了一些端口(我们后来还原了),但是我看不到这会影响这个,因为它仍然可以将PermitRootLogin设置为yes.
如何诊断为什么强制命令指令显然已停止工作？
解决方法
“PermitRootLogin forced-commands-only”要求所有连接(通过SSH作为root)需要使用公钥认证,并且命令与该密钥相关联(如’validate-rsync’).
- PermitRootLogin = without-password
要将rsync限制为已定义的ssh-key,可以在authorized_keys中指定：
- from="<ip>",command="/usr/local/sbin/validate-rsync" ssh-dss AAAAZ5Hbl......
并将此包装保存到：/usr/local / sbin / validate-rsync
- #!/bin/sh
- case "$SSH_ORIGINAL_COMMAND" in
- *\&*)
- echo "Rejected"
- ;;
- *\(*)
- echo "Rejected"
- ;;
- *\{*)
- echo "Rejected"
- ;;
- *\;*)
- echo "Rejected"
- ;;
- *\<*)
- echo "Rejected"
- ;;
- *\`*)
- echo "Rejected"
- ;;
- *\|*)
- echo "Rejected"
- ;;
- rsync\ --server*)
- $SSH_ORIGINAL_COMMAND
- ;;
- *)
- echo "Rejected"
- ;;
- esac
rsync附带了一个稍微复杂的脚本来做同样的事情,
http://www.samba.org/ftp/unpacked/rsync/support/rrsync
