Am Samstag, 20. April 2002 13:07 schrieb Roland Ehle:

...

Welche Möglichkeit gibt es definierten Usern den Internet-Zugang zu sperren, wenn 2 Rechner vorhanden sind. 1 Rechner dient als Firewall mit Masquerading + Proxy (Suse FW2) und der 2. Rechner enthält die User. Am 2. Rechner ist also als Gateway der 1. Rechner eingetragen.

eine Zugriffskontrolle ist via SuSE FW2 nicht möglich. Dafür brauchst Du einen Proxy (z.B. Squid)

Und wie sperre ich ssh für bestimmte user? Albert

Und wie sperre ich ssh für bestimmte user? Das müsste wie folgt funktionieren.

Setze in der /etc/passwd für die Nutzer die Shell auf /bin/false denen Du keinen Zugang zu einer Shell gewähren möchtest. Das müsste bei SSH genauso funktionieren wie bei Telnet. Beispielauszug (eine Zeile der /etc/passwd): test:XXXXPASSWORDXXXX:500:0:test-user:/home/test:/bin/false Das dürfte es gewesen sein. Mit freundlichen Grüßen, Carsten Breitbarth --- | web: http://www.realxonic.de | email: mailto:ich@realxonic.de | "Der Pinguin ist ein gutes Logo für Linux, | denn was nicht fliegt, stürzt auch nicht ab." | Francis Kuhlen (IBM-Vice President Sales) ---

On Sat, Apr 20, 2002 at 02:28:28PM +0200, A. Bogner wrote:

Ich muss wieder mal präzisieren: Ich meine ssh via Internet. ssh lokal soll erhalten bleiben. Dann sperre doch den SSH Zugriff für alle IP-Adressen ausser denen Deines lokalen Netzwerks. man iptables

greetinXs, Telefon: 07275/618351 Michael Hilscher Handy: 0173/3071899 Telefax: 07275/618352 -- Would Mozart have been more productive if he had scribes to help him, a secretary and a CEO to lead his way? -- Linus Torvalds

Hy, Am 02/04/20@14:28 schrieb A. Bogner:

Am Samstag, 20. April 2002 14:03 schrieb Carsten Breitbarth:

...

...

Und wie sperre ich ssh für bestimmte user?

Das müsste wie folgt funktionieren.

Setze in der /etc/passwd für die Nutzer die Shell auf /bin/false denen Du keinen Zugang zu einer Shell gewähren möchtest. Das müsste bei SSH genauso funktionieren wie bei Telnet.

Beispielauszug (eine Zeile der /etc/passwd): test:XXXXPASSWORDXXXX:500:0:test-user:/home/test:/bin/false

Das dürfte es gewesen sein.

Dann kann der user ja gar keine Befehle auf der Konsole mehr eingeben, oder?

Ich muss wieder mal präzisieren: Ich meine ssh via Internet. ssh lokal soll erhalten bleiben. Jegliches Programm bzw. jeglicher Befehl, der Pakete über das Internet verschickt soll blockiert werden. Surfen am Webserver im lokalen Netz ist ok, im Internet soll es aber nicht möglich sein. Analog für email: lokale emails versenden ist ok, nicht aber via Internet, usw., analog auch für ftp, etc.

IMO liegt die Schwierigkeit dort, wo kein Proxy-Server möglich ist.

<fantasier> Vielleicht gehst Du über das routing und entfernst in /etc/route.conf die default route und setzt diese dann über /etc/profile.local. if "$UID = <UserDenDuAussperrenWillst>; then else route add default gw <DeinGateway> fi Dann grüdest Du eine Gruppe zugriff und schreibst dort alle rein, die Zugriff haben sollen. Anschließend ein chmod root.zugriff /sbin/route und es könnte klappen. </fantasier> Ich weiss nicht ob Du wirklich allen Usern mit Zugriff auf das Netz auch Zugriff auf route gewähren willst, aber HTH. -- :wq-y Maik

Hallo, * Am 23.04.2002 postete Alex Klein:

Hallo,

* Am 21.04.2002 postete A. Bogner:

...

Welche Möglichkeit gibt es definierten Usern den Internet-Zugang zu sperren, wenn 2 Rechner vorhanden sind. 1 Rechner dient als Firewall mit Masquerading + Proxy (Suse FW2) und der 2. Rechner enthält die User. Am 2. Rechner ist also als Gateway der 1. Rechner eingetragen.

Du müsstest die jeweiligen User unterscheiden und dementsprechend könntest Du ein Skript aufrufen, was

- auflegt - Masquerading deaktiviert - etc. etc.

Ich gehe mal davon aus, daß der 2. Rechner ein Windoof-Rechner ist. Dann könntest Du evtl. Mit Samba und logsurfer was basteln. Was ebenso möglich wäre, ist, ein CGI-Skript auf dem Apachen laufen zu lassen, womit Du die Anwahl steuern kannst. Diese Seite kannst Du passwortschützen.

Die CGI-Skripte würden auch Betriebssystemübergreifend funktionieren. -- Gruß Alex -- Nicht jeder Idiot ist ein idiot. Manche tun nur so als seien sie Idioten. [WoKo in dag°]