openssh kulcsos, jelszavas belépés

[quote:ce1b276d78="Hijaszu"]Ezt szerintem nem probaltad ki (en igen hatha en nem tudom jol), ha letiltod a usert, kulccsal se enged be az ssh (es ha jobban meggondoljuk ez igy logikus is).

ha elolvasod a passwd man-ját leirja hogy
"A felhasználók lezárhatóak és újra beengedhetőek a -l és a -u kapcsolókkal. Az -l kapcsoló a jelszót kicseréli egy olyan értékre, ami semmilyen
lehetséges jelszó kódolt értékével nem egyezik. Az -u kapcsoló visszaállítja a jelszót a régire, és így újra engedélyezi a belépést."

magyarul nem letiltja a felhasznalot csak nem tud belépni jelszoval

szerintem probald ki: ebben az esetbenkulccsal se lehet bejelentkezni (en kiprobaltam)

Meg lehet oldani.
A "némelyiknek" előtti részről tengernyi anyag van (kulcsszavai: "ssh kulcs alapú azonosítás"), az utána lévő kérdéskörnél meg használd az "scponly" (http://www.sublimation.org/scponly/) cuccot.

Nem vagyok az apukád, de csakaszondom: igazán rákereshettél volna a neten (kulcsszó: "google" : - )....

[quote:00a7a0e31e="Hijaszu"]szerintem probald ki: ebben az esetbenkulccsal se lehet bejelentkezni (en kiprobaltam)

én is kiprobáltam debian sarge-ban siman mukodik marmint kulccsal siman lehet ki-be jarkalni valoszinuleg akkor pam-ban mas lehet beallitva nekunk, miben probaltad ki?

LFS alapu rendszeren - es lehet, hogy a PAM-ben lehet elteres, mert az SSHD-hez nem tartozik semmilyen PAM konfiguraciom. Neked van valami a /etc/pam.d/sshd-ben? (Azt hiszem ez tartozik az ssh-hoz.)

van, bar egy kicsit elter a targytol: csak siman /etc/pam.d/ssh

# PAM configuration for the Secure Shell service

# Disallow non-root logins when /etc/nologin exists.
auth required pam_nologin.so

# Read environment variables from /etc/environment and
# /etc/security/pam_env.conf.
auth required pam_env.so # [1]

# Standard Un*x authentication.
@include common-auth

# Standard Un*x authorization.
@include common-account

# Standard Un*x session setup and teardown.
@include common-session

# Print the message of the day upon successful login.
session optional pam_motd.so # [1]

# Print the status of the user's mailbox upon successful login.
session optional pam_mail.so standard noenv dir=~/Maildir # [1]

# Set up user limits from /etc/security/limits.conf.
session required pam_limits.so

# Standard Un*x password updating.
@include common-password

a hivatkozott fajlokban pedig rendre:
auth required pam_unix.so nullok_secure
account required pam_unix.so
session required pam_unix.so
password required pam_unix.so nullok obscure min=4 max=8 md5

Szerintem probald ki, hogy az sshd_configban engedelyezed a PubkeyAuthentication es a PasswordAuthentication is, aztan a user home-jaban az ~/.ssh/configban megadod hogy a kliens melyiket hasznalja...

PubkeyAuthentication yes
PasswordAuthentication no

illetve forditva...

Egy probat meger, nem?

Udv

Az elozo esetben azt is beleirtad a ~/.ssh/configba, hogy "PasswordAuthentication no" es ugy probaltad?

Most nincs lehetosegem kiprobalni, itthon vagyok tanulmanyi szabin, de a heten valamikor megnezem, ha addig raer...

Udv.

Eszerint a ~/.ssh/config az ssh kliensre vonatkozik.

Nem ertelek, nem pont azt akarod, hogy melyik kliens mivel azonositson?

Egyébként kipróbáltam ezzel a file-al, hogy a júzernek csak kulcsos bejelentkezést engedélyezek, de símán beengedte jelszóval. Szóval szerintem nem ez a megoldás.

Na, kozben megis kiprobaltam es nalam mukodik...
Kovetkezo a helyzet:
- melohelyen szerver, sshd_config-ban mindketto engedelyezve
[code:1:45be6c469d]
PubkeyAuthentication yes
PasswordAuthentication yes)
[/code:1:45be6c469d]
- itthon kliens, ~/.ssh/config-ban pedig vagy
[code:1:45be6c469d]
PubkeyAuthentication yes
PasswordAuthentication no
[/code:1:45be6c469d]
vagy
[code:1:45be6c469d]
PubkeyAuthentication no
PasswordAuthentication yes
[/code:1:45be6c469d]
es amelyik engedelyezve van, asszerint enged be :-)

Udv.

Ja, es meg valami... Ugy tunik, sajna a config allomanyokban beallitott dolgok parancssorbol mind felulirhatok :-(

Szerintem igy az egesz ertelmetlen... :-(

Udv.

El kell vonatkoztatni, olyan megoldasoktol, hogy a felhasznalo konyvtaraban barmit is atirogatunk. Az a felhasznalo tulajdona es szent es serthetetlen. Peldaul kulonvalaszthatod akiket be akarsz igy es ugy engedni, ket kulon porton futo SSH demonra, amit mashogy allitasz be (csak az egyik es csak a masik authentikaciora), valamint akiknek scp-t szeretnel esetleg (nem tudom, hogy konkretan mire), de atallithatod a shell-jet (mondjuk valamilyen restricted shellre). A userterben azert sem erdemes gondolkodni, mert ha atallitod, akkor felul fogja tudni irni, ha meg nem fogja tudni felulirni (mert megvonod a jogosultsagat), abbol sokkal tobb problema lesz, mint haszon.

Igen, igen... Igazad van...

Csak okoskodunk itt magunkban :-)

szerintem a legegyszerübb ha azoknak a user-eknek akiket csak kulccsal akarsz beengedni letiltod a jelszavukat (passwd -l user)

Ezt szerintem nem probaltad ki (en igen hatha en nem tudom jol), ha letiltod a usert, kulccsal se enged be az ssh (es ha jobban meggondoljuk ez igy logikus is).

Nem túl frappáns, de egyszerű megoldás:

Az összes user-nél, akiknél nem akarod, hogy be tudjanak lépni, beállítod a shellt /bin/false-ra. Így sikeres hitelesítés után az ssh szerver le is bontja nekik a kapcsolatot, mert a "shell" (/bin/false) befejezte működését.
Akik scp-znek, azoknak készítesz ssh kulcsokat, akik meg nem azoknak nem adsz kulcsot (igaz, hogy csinálhatnak maguknak is, és akkor ők is kulccsal mennek be).