Как настроить учетную запись SSH без терминала, но переадресация портов?

Question

Я пытаюсь настроить новую учетную запись пользователя, которую я могу дать друзьям, чтобы они могли использовать SSH на моем компьютере переадресации и разрешать переадресацию только определенных портов.

Я не хочу, чтобы у моих друзей была оболочка или возможность менять порты, куда им разрешено перенаправлять.

пример сеанса: Джо (друг) подключается с помощью PuTTY (который я предварительно настроил, он плохо разбирается в компьютерах) с example.com (мой компьютер, выходящий в Интернет), перенаправляя ему порты 8080,1990,25565 (с чем-либо порты, которые он хочет, желательно, чтобы они оставались теми же номерами) Пример команды ssh, чтобы сделать то же самое (но он все еще может изменить порты на моем компьютере!)

ssh -N restricteduser@example.com -p443 -L8080:192.168.1.2:8080 -L1990:127.0.0.1:1990 -L25565:127.0.0.1:25565

затем та же история с другим другом Смитом (те же порты, даже тот же пользователь), за исключением того, что он использует Linux, поэтому не могу использовать putty.

Можно ли оставить функцию SSH по умолчанию для всех остальных пользователей, кроме этого?

Я нашел это, когда искал в Google, но, увы, я не совсем понял, что предлагалось, и я не думаю, что они охватывали ограничение переадресации портов

Answer 1

Самый простой способ, который мне приходит в голову, - это отключить SFTP и изменить оболочку на /usr /sbin /nologin или подобное (программа, которая просто печатает «Эта учетная запись в настоящее время недоступна» и завершает работу).

Если вы не беспокоитесь о том, что они хранят файлы под своим пользователем на вашем компьютере, тогда вы не можете найти решение /etc /passwd. Если вы беспокоитесь о том, что они заполняют ваш жесткий диск мусором, могу ли я предложить установить квоты? ;)

Что касается ограничения используемых портов, "allowopen" в sshd_config должен хорошо служить этой цели. Он не будет делать то, что вы хотите, так как он может только запретить все, кроме заданного набора целей хоста для переадресации -L, но может быть целесообразно запустить отдельный sshd специально для этих пользователей, учитывая, что у вас есть такие специфические потребности для их ограничение.