如何将跳转用户(进入openSSH跳转箱)限制为仅限于另一台服务器的SSH？

Question

我的目标是:将跳转用户(进入OpenSSH跳转箱)限制在另一台服务器上。除了从jumpbox到另一台服务器的ssh之外，用户不应该能够列出目录、cd或其他任何内容。

我所拥有的：

• 活动目录用户登录到跳转服务器，然后将SSH登录到其他服务器。
• 配置在Ubuntu20.04上的OpenSSH跳转服务器

我所做的:编辑了/etc/ssh/sshd_config：

Match User testuser
  AllowTcpForwarding yes
  X11Forwarding no
  AllowAgentForwarding no
  ForceCommand /bin/false

当我添加ForceCommand /bin/false时，testuser甚至不能跳过服务器。没有它，用户可以登录跳转服务器，但仍然可以列出目录和cd。

Answer 1

1. 首先，让他们使用受限的Bash rbash。有关此问题的信息，请参阅man bash“受限SHELL”。
2. 现在，将这些用户的路径设置为一个不寻常的目录，这里作为一个示例用户名：

echo "PATH=/usr/restricted/bin" > /home/username/.bash_profile

1. 现在将这些命令作为符号链接或脚本添加到/usr/restricted/bin中：

ln -s /usr/bin/ssh /usr/restricted/bin/ssh (对每个主机来说都是ssh )

您可以使用名为/usr/restricted/bin/ssh的脚本限制目标主机，该脚本检查第一个参数，如果这是允许的主机名之一(S)。