-1

これはおそらくどこかで尋ねられましたが、私は一生それを見つけることができません。

現在サーバーマシンをセットアップしていますが、サーバーに直接SSH接続していて、承認されたキーを持っているコンピューターだけが入ることができるようにしたいと思います。すでにキーを使用できますが、人々がサーバーマシンにマルチホップできないようにする方法がわかりません。私は知りたいです：

  • サーバーマシンの設定を変更するだけでマルチホッピングを無効にすることも可能ですか？
  • もしそうなら、どうすればそれを行うことができますか？
  • そうでない場合、私がやろうとしていることを達成するために他にどのようなオプションが必要ですか？
4

1 に答える 1

1

サーバーの設定を変更するだけでは、それが可能だとは思えません。

サーバーが呼び出さserverれ、ネットワーク上の別のマシンが呼び出されるaux場合、次のマルチホップ メソッドを禁止する必要があります。おそらく他のものも同様です。

  1. ssh -t aux ssh server
  2. ssh -o ProxyCommand='ssh aux /usr/bin/nc %h %p' server
  3. ssh -N -L 2222:server:22 aux & ssh -p 2222 localhost

したがって、次のことを確認する必要があります。

  • sshserverネットワーク上の他のマシンで実行すると、ユーザーが（ssh経由ではなく）ローカルにログインしている場合を除いて、 への接続を拒否します
    • または、ネットワーク上の他のすべてのマシンで sshd 設定AllowAgentForwardingが に設定されていることを確認します。no
      • マンページには、「ユーザーはいつでも独自のフォワーダーをインストールできるため、ユーザーがシェル アクセスも拒否されない限り、セキュリティは向上しません」と記載されています。
  • netcat と同等のものは、ネットワーク上の他のマシンにはインストールされていません
  • sshd 設定AllowTcpForwardingはno、ネットワーク上の他のすべてのマシンで に 設定されています
    • マンページには、「ユーザーはいつでも独自のフォワーダーをインストールできるため、ユーザーがシェル アクセスも拒否されない限り、セキュリティは向上しません」と記載されています。

これはちょっと多いかもしれません。

おそらく、建物の外に出ることのないハードウェア トークンに秘密鍵を埋め込んでおくことができるでしょうか? ただし、これは私の経験の限界を超えています。

ServerFault.com で質問すれば、より良い回答が得られるはずです。うまくいけば、あなたの質問はそこにすぐに移行されます。

于 2012-07-03T16:31:25.353 に答える