Puede limitar qué hosts pueden conectarse configurando contenedores TCP o filtrando el tráfico de red (firewall) usando iptables . Si desea utilizar diferentes métodos de autenticación según la dirección IP del cliente, configure el demonio SSH en su lugar (opción 3).
Opción 1: filtrado con IPTABLES
Las reglas de Iptables se evalúan en orden, hasta la primera coincidencia.
Por ejemplo, para permitir el tráfico de la red 192.168.0.0/24 y, de lo contrario, soltar el tráfico (al puerto 22). La DROPregla no es necesaria si su política predeterminada de iptables está configurada para DROP.
iptables -A INPUT -p tcp --dport 22 --source 192.168.0.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
Puede agregar más reglas antes de la regla de caída para que coincida con más redes / hosts. Si tiene muchas redes o direcciones de host, debe usar el módulo ipset . También hay un módulo iprange que permite usar cualquier rango arbitrario de direcciones IP.
Iptables no son persistentes en todos los reinicios. Necesita configurar algún mecanismo para restaurar iptables en el arranque.
iptablesse aplica solo al tráfico IPv4. Los sistemas que tienen ssh escuchando direcciones IPv6 pueden hacer la configuración necesaria ip6tables.
Opción 2: uso de contenedores TCP
También puede configurar qué hosts pueden conectarse mediante contenedores TCP. Con los contenedores TCP, además de las direcciones IP, también puede usar nombres de host en las reglas.
Por defecto, denegar todos los hosts.
/etc/hosts.deny:
sshd : ALL
Luego, enumere los hosts permitidos en hosts.allow. Por ejemplo, para permitir la red 192.168.0.0/24 y localhost .
/etc/hosts.allow:
sshd : 192.168.0.0/24
sshd : 127.0.0.1
sshd : [::1]
Opción 3: configuración del demonio SSH
Puede configurar ssh daemon en sshd_config para usar un método de autenticación diferente según la dirección del cliente / nombre de host. Si solo desea bloquear la conexión de otros hosts, debe usar iptables o envoltorios TCP en su lugar.
Primero elimine los métodos de autenticación predeterminados:
PasswordAuthentication no
PubkeyAuthentication no
Luego agregue los métodos de autenticación deseados después de un Match Addressal final del archivo. Colocar Matchal final del archivo es importante, ya que todas las líneas de configuración posteriores se colocan dentro del bloque condicional hasta la siguiente Matchlínea. Por ejemplo:
Match Address 127.0.0.*
PubkeyAuthentication yes
Otros clientes aún pueden conectarse, pero los inicios de sesión fallarán porque no hay métodos de autenticación disponibles.
Los argumentos de coincidencia y las opciones de configuración condicional permitidas se documentan en la página del comando man sshd_config . Los patrones de coincidencia se documentan en la página de manual ssh_config .