Здравствуйте.
FreeBSD 12.1
Создал пользователя со входом по SSH с авторизацией по ключам для поднятия SSH туннеля для проброса портов к машинам в сети.
Теперь хочу отключить ему шелл, чтоб меньше было возможностей  лазить по системе.

В /etc/passwd прописал ему /usr/sbin/nologin

А никакого результата - все равно заходит с /sh

Куда копать?

• Как отключить пользователю шелл, оставив логин по SSH ,Аноним, 16:28 , 19-Мрт-20
  • Как отключить пользователю шелл, оставив логин по SSH ,sergetv, 16:57 , 19-Мрт-20
• Как отключить пользователю шелл, оставив логин по SSH ,BABUT, 17:45 , 19-Мрт-20
• Как отключить пользователю шелл, оставив логин по SSH ,Licha Morada, 18:21 , 19-Мрт-20
  • Как отключить пользователю шелл, оставив логин по SSH ,BABUT, 18:35 , 19-Мрт-20
    • Как отключить пользователю шелл, оставив логин по SSH ,Licha Morada, 21:26 , 19-Мрт-20
      • Как отключить пользователю шелл, оставив логин по SSH ,BABUT, 22:49 , 19-Мрт-20
        • Как отключить пользователю шелл, оставив логин по SSH ,Licha Morada, 00:16 , 20-Мрт-20
  • Как отключить пользователю шелл, оставив логин по SSH ,ыы, 08:03 , 20-Мрт-20
    • Как отключить пользователю шелл, оставив логин по SSH ,Licha Morada, 18:45 , 20-Мрт-20
      • Как отключить пользователю шелл, оставив логин по SSH ,ыы, 20:45 , 20-Мрт-20
        • Как отключить пользователю шелл, оставив логин по SSH ,Licha Morada, 21:26 , 20-Мрт-20

vipw
или
pw mod user ЮЗЕР -s /usr/sbin/nologin

> vipw
> или
> pw mod user ЮЗЕР -s /usr/sbin/nologin

Спасибо! Получилось

> Куда копать?

наверное копать в сторону pwd_mkdb, но это неточно(я на опёнке)

> Создал пользователя со входом по SSH с авторизацией по ключам для поднятия
> SSH туннеля для проброса портов к машинам в сети.
> Теперь хочу отключить ему шелл, чтоб меньше было возможностей  лазить по
> системе.

Мы на Линуксе, но делаем так:

cat > /home/${NEWUSER}/nologin.sh << EOF
#!/bin/sh

echo "Port forwarding only account. ^C to exit."
cat > /dev/null
exit 0
EOF
chmod +x /home/${NEWUSER}/nologin.sh

cat >> /home/${NEWUSER}/.ssh/authorized_keys << EOF
command="~/nologin.sh",no-X11-forwarding,no-agent-forwarding,no-pty,permitopen="localhost:443",permitopen="127.0.0.1:443" ssh-rsa AAAAB3...
EOF

>[оверквотинг удален]
> #!/bin/sh
> echo "Port forwarding only account. ^C to exit."
> cat > /dev/null
> exit 0
> EOF
> chmod +x /home/${NEWUSER}/nologin.sh
> cat >> /home/${NEWUSER}/.ssh/authorized_keys << EOF
> command="~/nologin.sh",no-X11-forwarding,no-agent-forwarding,no-pty,permitopen="localhost:443",permitopen="127.0.0.1:443"
> ssh-rsa AAAAB3...
> EOF

it's_a_magic.gif

> it's_a_magic.gif

Отнють, весьма прозрачно и конкретно. А это если не так, то пусть топикстартер задаёт вопросы. Ну, или вы задавайте вопросы.
Лично мне интересно, насколько это решение крос-сплатформенно.

> Отнють, весьма прозрачно и конкретно. А это если не так, то пусть
> топикстартер задаёт вопросы. Ну, или вы задавайте вопросы.
> Лично мне интересно, насколько это решение крос-сплатформенно.

command не отрабатывает, хотя в мане openssh упомянута.
но, вообще, я уверен на 99.9%, дело-таки в том, что он не пересоздал базу pwd.db, чем, собственно, и занимается vipw в конце. непонятно, почему он редактировал passwd, а не master.passwd, но, возможно, это особенности фряхи. камрад ранее дал плохой ответ- вместо объяснения механизма происходящего, он просто указал какую кнопку нажать

> command не отрабатывает, хотя в мане openssh упомянута.

Спасибо за фидбэк.

> cat >> /home/${NEWUSER}/.ssh/authorized_keys << EOF
> command="~/nologin.sh",no-X11-forwarding,no-agent-forwarding,no-pty,permitopen="localhost:443",permitopen="127.0.0.1:443"

А в /etc/passwd засунуть старт иксов, чтоб точно никто не догадался что-где...

>> cat >> /home/${NEWUSER}/.ssh/authorized_keys << EOF
>> command="~/nologin.sh",no-X11-forwarding,no-agent-forwarding,no-pty,permitopen="localhost:443",permitopen="127.0.0.1:443"
> А в /etc/passwd засунуть старт иксов, чтоб точно никто не догадался что-где...

Поясните, в чём это уподобляется засовыванию старта иксов в /etc/passwd?

>>> cat >> /home/${NEWUSER}/.ssh/authorized_keys << EOF
>>> command="~/nologin.sh",no-X11-forwarding,no-agent-forwarding,no-pty,permitopen="localhost:443",permitopen="127.0.0.1:443"
>> А в /etc/passwd засунуть старт иксов, чтоб точно никто не догадался что-где...
> Поясните, в чём это уподобляется засовыванию старта иксов в /etc/passwd?

Тем что создается смысловая каша из подразумевающегося назначения файлов.

>>>> cat >> /home/${NEWUSER}/.ssh/authorized_keys << EOF
>>>> command="~/nologin.sh",no-X11-forwarding,no-agent-forwarding,no-pty,permitopen="localhost:443",permitopen="127.0.0.1:443"
>>> А в /etc/passwd засунуть старт иксов, чтоб точно никто не догадался что-где...
>> Поясните, в чём это уподобляется засовыванию старта иксов в /etc/passwd?
> Тем что создается смысловая каша из подразумевающегося назначения файлов.

Соглашусь что смысловая каша это нежелательное явление.

Поделитесь, где, по вашему мнению, было бы уместно указывать, что можно и что нельзя делать клиентам SSH, подключающимся с определёнными ключами?