参考情報ですが、ログインシェルが存在しない、もしくは実行権限がない場合でも port forwarding が可能になる場合がありますので、その点について少し記述しておきます。
実行環境は以下の通りです。
OS: Linux 4.4.0
Distro: Ubuntu 16.04
sshd: OpenSSH 7.2p2
openssh-7.2p2/auth.c
int
allowed_user(struct passwd * pw)
{
:
/*
* Deny if shell does not exist or is not executable unless we
* are chrooting.
*/
if (options.chroot_directory == NULL ||
strcasecmp(options.chroot_directory, "none") == 0) {
char *shell = xstrdup((pw->pw_shell[0] == '\0') ?
_PATH_BSHELL : pw->pw_shell); /* empty = /bin/sh */
if (stat(shell, &st) != 0) {
logit("User %.100s not allowed because shell %.100s "
"does not exist", pw->pw_name, shell);
:
上記の部分では options.chroot_directory
の内容を検査していますが、これは sshd_config
ファイルにおける ChrootDirectory
に相当します。
srv$ ls -l /sbin/nologin
ls: cannot access '/sbin/nologin': No such file or directory
srv$ sudo chsh -s /sbin/nologin nemo
chsh: Warning: /sbin/nologin does not exist
srv$ getent passwd nemo
nemo:x:1001:100:testing:/nonexistent:/sbin/nologin
client 側から server(IP address:192.168.0.3)側へ (local) port forwarding を行います。
cli$ ssh -fNL 10000:127.0.0.1:8023 [email protected]
[email protected]'s password:
Permission denied, please try again.
:
Permission denied (publickey,password).
失敗したので、次は server 側の /etc/ssh/sshd_config
に ChrootDirectory
の設定を追加して、
/etc/ssh/sshd_config
Match User nemo
ChrootDirectory /chroot
sshd を再起動します。
srv$ ls -ld /chroot
drwxr-xr-x 2 root root 4096 /chroot/
srv$ sudo service sshd restart
再度、port forwarding を行ってみます。
cli$ ssh -fNL 10000:127.0.0.1:8023 [email protected]
[email protected]'s password:
client 上で 10000 番ポートにアクセスします。
cli$ telnet localhost 10000
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
その他にも先のソースコードから読み取れる様に、ログインシェルが設定されていない場合も同様に port forwarding が可能になります。
_PATH_BSHELL : pw->pw_shell); /* empty = /bin/sh */
このコメントにある通り、ログインシェルは /bin/sh
である、として処理が継続されてしまいます。
srv$ sudo chsh -s '' nemo
chsh: Warning: does not exist
srv$ getent passwd nemo
nemo:x:1001:100:testing:/nonexistent:
sshd_config
の ChrootDirectory
の設定を削除して sshd を再起動してから試してみると、port forwarding が可能になっています。
ChrootDirectory
の設定はともかく、ログインシェルの設定が空という状況は想定しづらいのですが、考慮しておくに越したことはないかと思います。
ただ、質問の意図が「ユーザー別に port forwarding の可否をコントロールしたい」という事であれば、先程の Match User
を使う方法もあります。
/etc/ssh/sshd_config
Match User nemo
AllowTcpForwarding no
ログインシェルを /bin/false
にして port forwarding を実行します。
$ ls -l /bin/false
-rwxr-xr-x 1 root root 26364 /bin/false
srv$ sudo chsh -s /bin/false nemo
srv$ getent passwd nemo
nemo:x:1001:100:testing:/nonexistent:/bin/false
cli$ ssh -fNL 10000:localhost:8023 [email protected]
[email protected]'s password:
cli$ telnet localhost 10000
Trying 127.0.0.1...
Connected to localhost.
channel 1: open failed: administratively prohibited: open failed
Escape character is '^]'.
Connection closed by foreign host.
/bin/false
でも/usr/sbin/nologin
でも port forwarding が可能です(もちろん SSH ログインは不可)。なお、sshd_config でAllowTcpForwarding no
などと設定すると forwarding を禁止できます。また、PermitOpen
を設定することでポートごとに forwarding の可否の設定ができる様です。/usr/sbin/nologin
は存在、かつ実行可能なモードになっているからです。