대화형 SSH 세션이 있는 호스트 기반 sudo 규칙

Question

sudo특정 IP 범위에서 접속할 때 비밀번호를 입력하지 않아도 되도록 구성하려고 합니다 . 내 /etc/sudoers파일 에 다음 줄을 사용하여 이를 시도했습니다 .

%wheel  10.1.2.0/24 = (ALL)   NOPASSWD: ALL

visudo닫아도 오류가 발생하지 않으므로 구문이 유효합니다. 그러나 휠 그룹에 있는 사용자로 IP 범위의 서버에서 로그인할 때 10.1.2.0/24여전히 계정 비밀번호를 제공해야 합니다.

[cybertinus@server ~]$ id
uid=500(cybertinus) gid=500(cybertinus) groups=500(cybertinus),10(wheel),48(apache)
[cybertinus@server ~]$ who
cybertinus     pts/0        2015-09-30 09:57 (10.1.2.3)
cybertinus     pts/1        2015-09-30 13:03 (10.1.2.3)
[cybertinus@server ~]$ sudo -i
[sudo] password for cybertinus:

/var/log/secure그러나 내가 알아차린 것은 이 프롬프트에서 잘못된 비밀번호를 입력하면 다음 줄이 my에 추가된다는 것입니다 .

Sep 30 13:04:31 server sudo: pam_unix(sudo-i:auth): authentication failure; logname=cybertinus uid=500 euid=0 tty=/dev/pts/1 ruser=cybertinus rhost=  user=cybertinus

rhost=비었다. 그래서 내 이론은 sudo가 ssh 세션에서 원격 호스트를 전달받지 못한다는 것입니다. sudo이 대화형 세션이 어느 호스트에서 실행되고 있는지 알 수 있는 방법이 있습니까 ssh?

나는 이것이 보안 위험이라는 것을 알고 있습니다. 하지만 문제의 IP 범위는 VPN 네트워크에서 사용하는 IP 범위입니다. 즉, 인터넷에 직접 연결되어 있지 않습니다. 해커가 내 VPN 네트워크에 침입하면 또 다른 문제가 발생합니다.

완전한 그림을 얻으려면 이것이 내 엔티어 /etc/sudoers파일입니다.

## Sudoers allows particular users to run various commands as
## the root user, without needing the root password.
##
## Examples are provided at the bottom of the file for collections
## of related commands, which can then be delegated out to particular
## users or groups.
##
## This file must be edited with the 'visudo' command.

## Host Aliases
## Groups of machines. You may prefer to use hostnames (perhaps using
## wildcards for entire domains) or IP addresses instead.
# Host_Alias     FILESERVERS = fs1, fs2
# Host_Alias     MAILSERVERS = smtp, smtp2

## User Aliases
## These aren't often necessary, as you can use regular groups
## (ie, from files, LDAP, NIS, etc) in this file - just use %groupname
## rather than USERALIAS
# User_Alias ADMINS = jsmith, mikem


## Command Aliases
## These are groups of related commands...

## Networking
# Cmnd_Alias NETWORKING = /sbin/route, /sbin/ifconfig, /bin/ping, /sbin/dhclient, /usr/bin/net, /sbin/iptables, /usr/bin/rfcomm, /usr/bin/wvdial, /sbin/iwconfig, /sbin/mii-tool

## Installation and management of software
# Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum

## Services
# Cmnd_Alias SERVICES = /sbin/service, /sbin/chkconfig

## Updating the locate database
# Cmnd_Alias LOCATE = /usr/bin/updatedb

## Storage
# Cmnd_Alias STORAGE = /sbin/fdisk, /sbin/sfdisk, /sbin/parted, /sbin/partprobe, /bin/mount, /bin/umount

## Delegating permissions
# Cmnd_Alias DELEGATING = /usr/sbin/visudo, /bin/chown, /bin/chmod, /bin/chgrp

## Processes
# Cmnd_Alias PROCESSES = /bin/nice, /bin/kill, /usr/bin/kill, /usr/bin/killall

## Drivers
# Cmnd_Alias DRIVERS = /sbin/modprobe

# Defaults specification

#
# Disable "ssh hostname sudo <cmd>", because it will show the password in clear.
#         You have to run "ssh -t hostname sudo <cmd>".
#
#Defaults    requiretty

#
# Refuse to run if unable to disable echo on the tty. This setting should also be
# changed in order to be able to use sudo without a tty. See requiretty above.
#
Defaults   !visiblepw

#
# Preserving HOME has security implications since many programs
# use it when searching for configuration files. Note that HOME
# is already set when the the env_reset option is enabled, so
# this option is only effective for configurations where either
# env_reset is disabled or HOME is present in the env_keep list.
#
Defaults    always_set_home

Defaults    env_reset
Defaults    env_keep =  "COLORS DISPLAY HOSTNAME HISTSIZE INPUTRC KDEDIR LS_COLORS"
Defaults    env_keep += "MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE"
Defaults    env_keep += "LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES"
Defaults    env_keep += "LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE"
Defaults    env_keep += "LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY"

#
# Adding HOME to env_keep may enable a user to run unrestricted
# commands via sudo.
#
# Defaults   env_keep += "HOME"

Defaults    secure_path = /sbin:/bin:/usr/sbin:/usr/bin

## Next comes the main part: which users can run what software on
## which machines (the sudoers file can be shared between multiple
## systems).
## Syntax:
##
##  user    MACHINE=COMMANDS
##
## The COMMANDS section may have other options added to it.
##
## Allow root to run any commands anywhere
root    ALL=(ALL)   ALL

## Allows members of the 'sys' group to run networking, software,
## service management apps and more.
# %sys ALL = NETWORKING, SOFTWARE, SERVICES, STORAGE, DELEGATING, PROCESSES, LOCATE, DRIVERS

## Allows people in group wheel to run all commands
%wheel  10.1.2.3=(ALL)   NOPASSWD: ALL
%wheel  ALL=(ALL)   ALL

## Same thing without a password
# %wheel    ALL=(ALL)   NOPASSWD: ALL
## Allows members of the users group to mount and unmount the
## cdrom as root
# %users  ALL=/sbin/mount /mnt/cdrom, /sbin/umount /mnt/cdrom

## Allows members of the users group to shutdown this system
# %users  localhost=/sbin/shutdown -h now

## Read drop-in files from /etc/sudoers.d (the # here does not mean a comment)
#includedir /etc/sudoers.d

/etc/sudoers.d마지막에 에 대한 참조가 표시됩니다 . 해당 디렉토리의 내용은 다음과 같습니다.

[root@server ~]# ls /etc/sudoers.d | wc -l
0

즉, In은 /etc/sudoers.d일반 /etc/sudoers파일을 지배할 수 있는 것이 아닙니다.

Answer 1

호스트 목록 기능은 원격 호스트가 아닌 실행되는 sudo호스트의 호스트 이름, IP 주소, 네트워크 번호, 넷그룹을 확인/일치합니다 .sudo

아이디어는 단일 범용 sudoers파일을 다수의 서버/워크스테이션에 배포할 수 있고 특정 권한은 시스템 하위 집합의 사용자에게만 부여된다는 것입니다.

하단의 예시 섹션을 확인하세요.수동

# /etc/sudoers
# Runas alias specification
Runas_Alias OP = root, operator

# Host alias specification
Host_Alias  SPARC = bigtime, eclipse, moet, anchor :\
        SGI = grolsch, dandelion, black :\
        ALPHA = widget, thalamus, foobar :\
        HPPA = boa, nag, python
Host_Alias  CUNETS = 128.138.0.0/255.255.0.0
Host_Alias  CSNETS = 128.138.243.0, 128.138.204.0/24, 128.138.242.0
Host_Alias  SERVERS = master, mail, www, ns

# example users
jack        CSNETS = ALL
jen         ALL, !SERVERS = ALL 
bob         SPARC = (OP) ALL : SGI = (OP) ALL

사용자 jack은 CSNETS 별칭의 컴퓨터(네트워크 128.138.243.0, 128.138.204.0 및 128.138.242.0)에서 모든 명령을 실행할 수 있습니다. 해당 네트워크 중 128.138.204.0에만 클래스 C 네트워크임을 나타내는 명시적인 넷마스크(CIDR 표기법)가 있습니다. CSNETS의 다른 네트워크의 경우 일치 중에 로컬 시스템의 넷마스크가 사용됩니다.

사용자 bob은 OP Runas_Alias(루트 및 운영자)에 나열된 사용자로서 SPARC 및 SGI 시스템에서 무엇이든 실행할 수 있습니다.

사용자 jen은 SERVERS Host_Alias(master, mail, www 및 ns)에 있는 명령을 제외한 모든 시스템에서 모든 명령을 실행할 수 있습니다.