[Résolu] Désactivé l'accès SSH à un utilisateur.

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Résolu] Désactivé l'accès SSH à un utilisateur.

eax

Bonjour,

Je viens vous demandez un coup de main, car je n’arrive pas à désactiver l’accès ssh a un utilisateur.
J’ai beau chercher sur le net, je ne trouve pas vraiment de réponses …

Alors tout d’abord j’ai utilisé le script d’installation automatique ruTorrent & Seedbox-Manager.
Et là je vois bien que mon user « downloader » n’a pas d’accès ssh.

Donc en fait j’utilise OpenVPN-AS, et pour crée un utilisateur qui puisse se connecter au vpn, il faut en crée un en amont, avec la command « adduser »
Coter vpn tout fonctionne, l’accès web, etc …

Mais je me suis rendu compte que l’user crée avais un accès ssh en l’occurrence l’utilisateur « android » (c’est le nom de l’utilisateur que j’ai créé pour mon téléphone)

Pourriez-vous m’indiquer comment je peux faire pour désactiver le ssh à « android » ?

J’ai bien fouillé du coter de sshd_config, mais je n’ai pas vue d’utilisateur « android »

Donc voilà je suis un peu embêter ne sachant pas désactiver l’accès ssh de l’user « android »

Merci de m’avoir lu.

Bien cordialement.

eax

[Édit]

J’ai trouvé une astuce mais je ne suis pas sûr, que ce soit une méthode très recommandé.

whereis nologin
nologin: /usr/sbin/nologin /usr/share/man/man5/nologin.5.gz /usr/share/man/man8/nologin.8.gz
echo "/usr/sbin/nologin" >> /etc/shells

adduser android

usermod -s /usr/sbin/nologin android

Qu'en pensez vous ?

jbnitro

renseigne un allowusers de tout tes compte qui peuvent se connecter sur ssh genre user1 user2 et tu ne met pas android et normalement sa bloque tout ceux qui ne sont pas dasn la liste je crois

eax

Merci pour ta réponse.

Je crée mon AllowUsers tout a la fin de : sshd_config ?

Simplement comme ça ? :

AllowUsers
user1
user2
user3

eax

En plus je viens de remarquer qu’avec ma méthode le sftp et activer …
Donc ce n’est vraiment pas sécure, du coup je vais delete l'utilisateur android en attendant de trouver une solution. Je ne préfère pas prendre de risque.

Kev42

man sshd_config

Je dirais peu importe la position dans le fichier, le plus simple à la fin.

Donc il faut écrire AllowUsers puis y rajouter les noms des utilisateurs autorisés, séparés par un espace (plusieurs espaces fonctionne aussi probablement)

Pas d’accès ssh = pas d’accès sftp, puisque que le protocole sftp utilise ssh.

eax

Je vient de rajouter " AllowUser ", mais j'ai l’erreur suivante :

root@debian:/home# /etc/init.d/ssh restart
/etc/ssh/sshd_config line 90: Directive 'AllowUsers' is not allowed within a Match block

Dans mon Match block j'ai exactement :

Match User dl
ChrootDirectory /home/dl

Donc je rajoute juste l'utilisateur "android" ?
Mais aussi je voudrais que cette utilisateur "android" n'est pas de " home ", donc tout a l'heure j'avais rm -r /home/android

Kev42

Rajoute avant les match alors

Pour ton /home/android il affiche quoi comme message d'erreur quand tu tentes de le supprimer ?

eax

Donc j'édite mon fichier de cette manière ?

Match User dl
ChrootDirectory /home/dl/

Match User android
ChrootDirectory /home/android/

eax

Kev42 wrote:Rajoute avant les match alors

Pour ton /home/android il affiche quoi comme message d'erreur quand tu tentes de le supprimer ?

Quand je fait un rm -rf /home/android/ il ne dit absolument rien en root. Donc c'est bon, mais je me poser juste la question a savoir si je devais pas m'y prendre autrement.

Kev42

Bah non tu rajoute AllowUsers avant le premier match et tu disais ne pas vouloir de home/android, je ne comprends pas :s

eax

Bon je vient de rajouter le AllowUsers devant le Match block ce qui donne :

AllowUser root user
Match User dl
ChrootDirectory /home/dl

Et la j'ai cette erreur :

root@debian:/home# /etc/init.d/ssh restart
/etc/ssh/sshd_config: line 88: Bad configuration option: AllowUser
/etc/ssh/sshd_config: terminating, 1 bad configuration options

Ensuite oui je ne voulais pas qu'il et un home l'user android c'est donc pour ça que j'avais rm -rf /home/android/

Kev42

C'est AllowUsers

Donc t'as pas besoin du chroot sur /home/android

eax

Il semblerai que je n'ai pas tout compris, du coup j'ai essayer de mettre un denyusers avant le gros bloc qui parle de PAM

DenyUsers android

Et ça fonctionne ...

En tout cas, merci a vous deux pour vos réponse.

Bonne fin de journée. ^^

Kev42

Tu as mis AllowUser et non AllowUsers.

Là tu as autorisé tout le monde sauf l'utilisateur android, ce qui finalement revient au même.
Et d'ailleurs je ne suis pas certain qu'il faille spécifier l'utilisateur root dans AllowUsers, il doit l'être par défaut je crois, étant donné qu'il y a une autre option rien que pour interdire l'accès à root en ssh.

ex_rat

Si je peux me permettre une remarque... Vous y allez fort sur le fichier sshd_config et personne ne suggère de faire gaffe avec ça !

P'tit rappel, après avoir touché à tout en mode " j’expérimente des trucs " et relancé ssh, toujours vérifier qu'on arrive bien à se connecter en root dans une nouvelle console sans fermer la première pour pouvoir revenir en arrière sans bobo !

Parce que c'est toujours un grand moment de solitude quand on se retrouve à la porte... C'était la minute "Gros Doigts"

Ex.

Solinvictus

ex_rat wrote:Si je peux me permettre une remarque... Vous y allez fort sur le fichier sshd_config et personne ne suggère de faire gaffe avec ça !

P'tit rappel, après avoir touché à tout en mode " j’expérimente des trucs " et relancé ssh, toujours vérifier qu'on arrive bien à se connecter en root dans une nouvelle console sans fermer la première pour pouvoir revenir en arrière sans bobo !

Parce que c'est toujours un grand moment de solitude quand on se retrouve à la porte... C'était la minute "Gros Doigts"
Ex.

Je confirme : ça m'est arrivé pas plus tard... que ce matin. Heureusement que le mode rescue m'a permis de monter la partition et virer ma connerie.

Kev42

Pas de risque, pas de plaisir

Hardware

Une autre solution assez propre c'est de désactiver le shell de l'utilisateur :

usermod -s /usr/sbin/nologin COMPTE_UTILISATEUR

Avec cette commande, il ne pourra plus se connecter par SSH. Tu peux même customizer le message qui apparaît lorsqu'il tente de se connecter en modifiant le contenu du fichier /etc/nologin.txt.