linux – Debian：SSH：“PermitRootLogin = forced-commands-only”停止工作

我有几台运行Debian Lenny的服务器.

就在最近,我发现了针对ssh的PermitRootLogin = forced-commands-only指令,它允许我使用ssl密钥以root身份运行脚本化rsync,而不启用更通用的root ssh访问.

然而,上周这停止了工作 – 它出现在我的所有服务器上 – 我无法弄清楚原因.

PermitRootLogin = yes,一切都继续正常,但我宁愿阻止root登录 – 特别是通过密码.

它停止工作的那天,我们在我们的一个交换机上重新配置了一些端口(我们后来还原了),但是我看不到这会影响这个,因为它仍然可以将PermitRootLogin设置为yes.

如何诊断为什么强制命令指令显然已停止工作？

解决方法

“PermitRootLogin forced-commands-only”要求所有连接(通过SSH作为root)需要使用公钥认证,并且命令与该密钥相关联(如’validate-rsync’).

如果您想以root用户身份登录,但只能使用密钥：

PermitRootLogin = without-password

要将rsync限制为已定义的ssh-key,可以在authorized_keys中指定：

from="<ip>",command="/usr/local/sbin/validate-rsync" ssh-dss AAAAZ5Hbl......

并将此包装保存到：/usr/local / sbin / validate-rsync

#!/bin/sh 

case "$SSH_ORIGINAL_COMMAND" in 
*\&*) 
echo "Rejected" 
;; 
*\(*) 
echo "Rejected" 
;; 
*\{*) 
echo "Rejected" 
;; 
*\;*) 
echo "Rejected" 
;; 
*\<*) 
echo "Rejected" 
;; 
*\`*) 
echo "Rejected" 
;; 
*\|*) 
echo "Rejected" 
;; 
rsync\ --server*) 
$SSH_ORIGINAL_COMMAND 
;; 
*) 
echo "Rejected" 
;; 
esac

rsync附带了一个稍微复杂的脚本来做同样的事情,
http://www.samba.org/ftp/unpacked/rsync/support/rrsync