केवल कुछ IP सीमाओं तक "रिमोट लॉगिन" (ssh) की पहुंच कैसे सीमित करें?

Question

क्या कोई मुझे बता सकता है कि केवल कुछ आईपी रेंज (जैसे स्थानीय नेटवर्क) तक ही एसएसएच पहुंच को कैसे प्रतिबंधित किया जाए और पूरे इंटरनेट को नहीं? मुझे लगता है कि यह फ़ायरवॉल के माध्यम से किया जाना है।

Answer 1

से man sshd:

/etc/hosts.allow
/etc/hosts.deny
Access controls that should be enforced by tcp-wrappers are defined here.  
Further details are described in hosts_access(5).

http://www.debian-administration.org/articles/87 ये उदाहरण प्रस्तुत करते हैं:

# /etc/hosts.allow
sshd: 1.2.3.0/255.255.255.0
sshd: 192.168.0.0/255.255.255.0

# /etc/hosts.deny
sshd: ALL

मैक ओएस एक्स में टीसीपी आवरण कार्यक्रम है: tcpd

Answer 2

मैंने इसका परीक्षण नहीं किया, लेकिन मैं टर्मिनल में इसकी कोशिश करूंगा:

sudo ipfw add allow src-ip 10.0.0.0/8,172.16.0.0/16,192.168.0.0/16 dst-ip me dst-port 22
sudo ipfw add reject src-ip any dst-ip me dst-port 22

Answer 3

यदि आप एक राउटर के पीछे हैं और पोर्ट को आपके कंप्यूटर में मैप नहीं करते हैं, तो यह इंटरनेट से एसएसएच एक्सेस को प्रभावी रूप से अक्षम करता है।

Comments

हां, मुझे इसकी जानकारी है। दुर्भाग्य से यह वास्तव में मेरे लिए समाधान नहीं है क्योंकि यह मेरे मैकबुक प्रो के लिए है जो कभी-कभी बाहरी आईपी और बीच में राउटर के साथ नेटवर्क से जुड़ा होता है।

— Michal M

ऐसा लगता है कि बहुत ही संभावना नहीं है, और यह मानकर कि आपके पास केवल एक नेटवर्क एडेप्टर है, इसका अर्थ यह होगा कि कोई 'स्थानीय' नेटवर्क नहीं है यदि कोई सार्वजनिक आईपी पता इसके लिए बाध्य है।

— Gerry

वास्तव में या नहीं, वास्तव में कोई फर्क नहीं पड़ता, यह करता है? बाहरी आईपी स्थिति के अलावा, सार्वजनिक वाईफाई नेटवर्क पर विचार करें। मुझे पता है कि कौन से नेटवर्क मेरे लिए सुरक्षित हैं और मैं केवल इन नेटवर्कों तक पहुँच को प्रतिबंधित करना चाहूंगा। मेरा सवाल थोड़ा अधिक सामान्य है, जो मेरा इरादा था।

— Michal M

मैं इस सवाल का जवाब देना चाहूंगा। लगता है कि आप फ़ायरवॉल में कुछ सेवाओं के लिए श्वेतसूची (कुछ) आईपी रेंज देख रहे हैं।

— Gerry

सुझाव के अनुसार किया गया। चीयर्स।

— Michal M