PAM ssh login => Radius

[Reen_sc]

Hallo Leute,

hat jemand ne Ahnung wie ich den ssh-Login so ändern kann, dass man den lokalen Login (über einen Notfall-User) solange verhindern kann, wie Radius erreichbar ist?

Aktuell kann sich der Notfall-User immer anmelden auch wenn Radius verfügbar ist :-(


Danke

 

[tgruene]

Schuss ins Blaue: Du koenntest ein Skript schreiben, dass ueberprueft ob radius verfuegbar ist (ich weiss nicht, was Radius ist und kann deswegen ueber diesen Pruef-Mechanismus nichts aussagen). Wenn das nicht der Fall ist, schiesst es sshd ab und startet sshd neu mit einer Konfigurationsdatei (sshd -f ...), die es nun dem Notfall-User erlaubt, sich anzumelden.
Der Notfall-User kann dann vor dem Abmelden wieder den Standard-sshd starten, der es ihm verbietet, sich anzumelden, sobald Radius wieder laeuft (meiner Erfahrung nach werden bestehende Verbindungen nicht gekappt, wenn sshd neu gestartet wird).
Weswegen moechtest Du das erreichen?

 

[marcellus]

Ich frag mich natürlich auch wie du wissen willst, ob der raidus server läuft, ein ping wird vermutlich nicht reichen, es kann der Pc trotzdem laufen und dein radiusd ist abgestürzt.

Sobald du weißt, dass der radiusd verreckt ist kannst du mit iptables, oder der sshd_config was machen, aber die Erkennung wird schwer.

 

[nighT]

Vorab: Ich kenne mich mit Radius nicht aus!

Aber kannst du auf dem Radius Server nicht abfragen, ob der Prozess läuft?
Evtl. Cronjob o.Ä. und das Ergebnis per FTP/HTTP zur Verfügung stellen?

Oder eine Testverbindung (?) aufbauen und überprüfen, was dabei rauskommt?


Und wenn eines der Testfälle zutrifft, eben die sshd_config oder iptables (wie marcellus gesagt hat) anpassen...

 

[Reen_sc]

Hallo,

danke für die Antworten. Das mit einem Skript abzufackeln daran habe ich auch schon gedacht....muss ich mal sehen was man da machen lässt.

Die Verfügbarkeit von Radius wird mM nach nicht kontinuierlich überprüft, sondern nur bei Anmeldung eines Users.


"Weswegen moechtest Du das erreichen?"
Ich möchte damit erreichen, dass jeder User eindeutig identifizierbar ist und keine Commandos über den anonymen Notfall-User ausführt ;-)

 

[tgruene]

Ich möchte damit erreichen, dass jeder User eindeutig identifizierbar ist und keine Commandos über den anonymen Notfall-User ausführt ;-)

Warum gibst Du Dich fuer letzteres nicht damit zufrieden, dem Notfall-Nutzer ein sicheres Passwort zu geben? Das Programm 'pwgen' ist da sehr nuetzlich.