Ограничения ssh через authorized_keys

Почти все знают, что с помощью ~/.ssh/authorized_keys можно разрешить пользователю с определенным RSA/DSA ключем логиниться через ssh. Но мало кто знает, что там же можно ограничить возможности ssh для пользователя. :)

если строчку с ключем, которая обычно выглядит так:
ssh-rsa многобукав user@hostname
поправить на
command="/bin/date" ssh-rsa многабукав ...
То при логине с этим ключем автоматически запустится /bin/date и произойдет logout из системы. Другую команду пользователь запустить не сможет (удобно, если ваш скрипт ходит зачем-то на этот хост - для ограничения его возможностей на всякий пожарный).
from="192.168.1.1" - ключ сработает, только если пользователь пришел с хоста 192.168.1.1, иначе спросит пароль. Умеет маски.
no-port-forwarding - запретит случайно использовать опцию -L для проброса портов.
permitopen="google.com:80" - ограничивает возможности ssh -L только форвардингом порта на google.com:80

Опции можно разделять запятыми:
from="backup.example.com",no-port-forwarding,no-X11-forwarding ssh-rsa AAAAA3Nza.... LiPK== user@backup.example.com

Подробности сего действа можно вычитать в man sshd, секция "AUTHORIZED_KEYS FILE FORMAT". Там есть еще пара опций.

Настройка простейшего сервера Amanda

Небольшой пример настройки сервера amanda, который будет бекапить сам себя. Но при желании, сможет бекапить что угодно.
Для Centos 5 я беру пакеты вот отсюда: Zmanda Downloads, потому что тут более-менее адекватно собранная последняя версия есть всегда.

Advanced Maryland Automatic Network Disk Archiver!

В годы молодости, когда опыт работы с Linux был маленьким, все равно хотелось
делать бекапы. Тогда и были найдены такие вещи как Amanda и Bacula, но новичку
было не так просто разобраться с ними и я пользовался маленьким и простым
backup-manager. Вот уже прошли годы и я умею и Bacula и Amanda, и хотелось бы
рассказать совсем чуть-чуть про то что начинается с А.
Amanda напоминает штуковину, которую многие бы написали самостоятельно. Но в то
же время она несколько своеобразна.

Развлечения для гиков, уровень первый

• Ходить в интернет через свой собственный прокси, установленный на той этой же самой локальной машине.


• Кешировать DNS-запросы локальным BIND или PowerDNS


• Отправлять почту через локальный SMTP-сервер, настроенный работать через smarthost, забирать ее с помощью fetchmail, сортировать с помощью procmail и фильтровать с помощью spamassassin, проверяя при этом с помощью clamav. В качестве клиента пользоваться mutt. (А что, раньше 90% юниксоидов делало именно так).


• Настроить балансировку нагрузки на swap, используя два винчестера.


• Завести себе lvm2-том под /home и выделить отдельные разделы для /usr /var и /boot.


• Мониторить собственную локальную машину с помощью Cacti, Munin, MRTG или Zabbix.


• Парсить логи на собственной локальной машине с помощью logwatch, получать статистику от почтовой систмы и spamassassin. Разглядывать отчеты от Squid и даже написать самоделельный парсер логов для этого.