Cómo restringir el acceso SSH para usuarios con LShell (Shell limitado)

LShell o Limited Shell está escrito en python para limitar al usuario para un conjunto específico de comandos y directorios. Puede crear un entorno de usuario con acceso limitado, también puede habilitar comandos de desactivación sobre el acceso SSH.

Instalar Shell limitado

Use el siguiente comando para instalar el paquete LShell en su sistema basado en Debian. Para otro sistema operativo, debe buscar en Google el paquete de lshell para su distribución.

$ sudo apt-get install lshell

Cambiar usuario a LShell

Ahora configure LShell como shell predeterminado para los usuarios para los que es necesario. Por ejemplo, para cambiar el caparazón del usuario sarah.

$ sudo chsh sarah

Changing the login shell for sarah
Enter the new value, or press ENTER for the default
	Login Shell [/bin/lshell]: /usr/bin/lshell 

También puede configurar lshell como shell predeterminado para el usuario durante la creación de la cuenta de usuario de la siguiente manera.

$ sudo adduser --shell /usr/bin/lshell raj

Configurar LShell

Ahora comience con la configuración de lshell. Edite el archivo de configuración de lshell /etc/lshell.conf . Hay 4 secciones básicas en el archivo de configuración.

• [global] : En esta sección definimos la configuración que se aplica globalmente. Por ejemplo, registros.
• [predeterminado] : En esta sección establecemos valores predeterminados que se aplican a todos los usuarios y grupos. La configuración de esta sección se puede anular con la configuración específica del usuario y del grupo.
• [NOMBRE DE USUARIO] : En esta sección especificamos la configuración específica del usuario. La configuración de esta sección se aplica solo al usuario
• [grp:NOMBRE DEL GRUPO] : En esta sección especificamos la configuración específica del grupo. La configuración de esta sección se aplica a todos los usuarios del grupo

Un [predeterminado] El perfil se aplica a todos los usuarios que utilizan lshell. Puede crear [nombre de usuario] sección o un grupo [grp:groupname] sección para personalizar las preferencias específicas de los usuarios y grupos.

El orden de prioridad es Usuario>> Grupo>> Predeterminado . La sección de usuario tiene la prioridad más alta y la predeterminada tiene la prioridad más baja.

[global]
logpath         : /var/log/lshell/
loglevel        : 2

[default]
allowed         : ['ls','pwd','cd','cat','cp']
forbidden       : [';', '&', '|','`','>','<', '$(', '${']
sudo_commands   : ['ls', 'more']
warning_counter : 2
aliases         : {'ll':'ls -l', 'vim':'rvim'}
prompt          : "%[email protected]%h"
timer           : 0
path            : ['/home', '/usr']
env_path        : ':/usr/bin/usr/local/bin'
env_vars        : {'foo':1, 'bar':'helloworld'}
scp             : 1 # or 0
sftp            : 1 # or 0
overssh         : ['rsync','ls']
strict          : 0
history_file    : "/home/%u/.lshell_history"

[grp:wheel]
warning_counter : 5
overssh         : - ['ls']

[raj]
allowed         : 'all' - ['su','rm','mv']
path            : ['/etc', '/usr'] - ['/usr/local']
home_path       : '/home/raj'

[sarah]
allowed         : + ['ping'] - ['ls']
path            : - ['/usr/local']
strict          : 1
scpforce        : '/home/sarah/uploads/'

Por ejemplo, el usuario 'rja' y el usuario 'sarah' pertenecen al grupo UNIX 'rueda':
Rueda de grupo:

• Los usuarios del grupo de ruedas tienen un contador de advertencia establecido en 5
• Los usuarios del grupo de ruedas no tienen permitido el comando 'ls'.

Usuario raj:

• Puede acceder a /etc y /var pero no a /usr/local
• Puede acceder a todos los comandos en su PATH excepto los comandos:su, rm, vm
• tiene un contador de advertencia establecido en 5 [predeterminado]
• ha establecido su ruta de inicio en '/home/raj'

Usuario Sara:

• Puede acceder a /home y /usr pero no a /usr/local
• está permitido el comando predeterminado 'ping' pero no 'ls'
• la rigurosidad se establece en 1 (no se le permite escribir un comando desconocido)