Onderwerp: Klanten SSH access geven?

Doen jullie dat? Waarom wel/niet ? Bij ons staat het standaard aan, maar 90% van onze klanten weet niet dat ze het hebben, dus er wordt ook niet bijster veel gebruik van gemaakt. Wat veiligheid betreft, och, iedereen krijgt jailshell, dat scheelt al een stuk. Mocht er dan nog narigheid ontstaan dan hebben we logs van alles.

Wij geven het dus wel.

In eerste instantie nee, is op aanvraag verkrijgbaar bij alle accounts. Heb liever dat iemand het gebruikt die weet hoe hij/zij er mee moet omgaan, ipv er iets "raars" gebeurd en dat ik vervolgens word wakker gebeld midden in de nacht.

standaard uit, mits het gevraagt wordt en uitleg waarom het nodig is, dan verlenen we toegang. En we vragen dan ook watvoor provider die heeft, en daaruit kijken of die vaste ip/host heeft. Zo ja, die toevoegen. Als iemand dynamische ip/host heeft, dan wordt het iets lastiger om SSH toegang te krijgen.

Hier ook standaard uit. Ben wel benieuwd welke chroot jullie gebruiken eXite. Want niet elke chroot is even chrooted heb ik mij laten vertellen (correct me if wrong......)

En meestal vragen we iemand wat voor dingen ze willen doen op de shell en daar schrijven we dan een eigen programmatje voor dat via de shell kan worden aangestuurd. Kunnen ze uiteindelijk dus enkel dat wat wij toestaan.

Deimos: als ze inloggen komen ze aanvankelijk in /home/$user/. Maar jailshell filtert er het een en ander uit.

Als ik nu inlog onder een user account en het volgende doe:

jailshell-2.05a$ ls
100mb.bin etc mail public_ftp public_html tmp wget-log www
jailshell-2.05a$ cd ..
jailshell-2.05a$ ls
futurebe
jailshell-2.05a$

Zoals je ziet lijkt het net alsof er maar 1 account in de /home staat.
Nog een stapje verder..

jailshell-2.05a$ cd ..
jailshell-2.05a$ ls
bin dev etc home lib proc tmp usr var

Dan kun je dus wel het een en ander zien. Maar dat is zéér beperkt. Hoe werkt dat: jailshell creert voor iedere user een apart viritueel mount systeem:

jailshell-2.05a$ more /etc/mtab
/dev/root /lib type virtfs (rw)
/dev/root /usr/lib type virtfs (rw)
/dev/root /usr/sbin type virtfs (rw)
/dev/root /usr/share type virtfs (rw)
/dev/root /usr/bin type virtfs (rw)
/dev/root /usr/X11R6 type virtfs (rw)
/dev/root /usr/kerberos type virtfs (rw)
/dev/root /usr/man type virtfs (rw)
/dev/root /var/log type virtfs (rw)
/dev/root /var/spool type virtfs (rw)
/dev/root /var/lib type virtfs (rw)
/dev/root /var/run type virtfs (rw)
/dev/root /home/futurebe type virtfs (rw)
/dev/root /tmp type virtfs (rw)
/dev/root /dev type virtfs (rw)
/dev/root /bin type virtfs (rw)
/proc /proc type proc (rw)

Kan dus weinig misgaan behalve het uitlezen van wat nutteloze informatie

Wat is de url naar dat programma? (kon hem zo 123 niet vinden met google)

Ik heb eigenlijk geen idee, kwam samen met cpanel

Even de linux cdtjes dr in schuiven en "ls /mnt/cdrom/RedHat/RPMS/ | grep jail" doen denk ik.. maar ik ga nog even zoeken voor je.

Ah volgens mij is dit hem..

Dank je, verder er niet altijd van uitgaan dat iedereen linux draait he . (en nee draai geen windows)

Wij geven ook ssh access, ensim pro heeft vrij goede chroot beveiliging.
Ze kunnen niks meer doen dan dat ze met perl ofzo ook zouden kunnen.

Wij geven gewoon SSH access, absoluut geen Telnet.
SSH access staat wel standaard uit, maar kan op aanvraag zo aangezet worden per klant (Is standaard uit omdat ik het niet fijn vind dat iemand gewoon ff in SSH gaat rondhangen).

Wij zetten alle SSH klanten bij elkaar op 1 server, en vertellen wat het inhoudt (meestal). Als er dan opeens iets weg is, hebben wij ze iig gewaarschuwd. Standaard komen klanten op een server waar niemand SSH login heeft, is wel makkelijker te beheren vind ik (denk aan het uitzetten van passwords bijvoorbeeld om authenticatie op basis van keys en ip-adressen te doen).