script para bloqueio de multi login no ssh

vip3r
(usa Outra)

Enviado em 03/09/2016 - 22:54h

preciso de um script para desconectar um usuário que esteja conectado no ssh através de dois terminais diferentes , queria rodar no crontab a cada 1 minutos esse script, e caso identifique multi login desconectasse esse usuário ficando somente 1 conectado.

ctw6av
(usa Nenhuma)

Enviado em 04/09/2016 - 00:07h

Vi sua antiga pergunta e não tive tempo para responder mas agora está mais calmo. Não é necessário script use o módulo do pam chamado "pam_limits".

O módulo "pam_limits" é usado para limitar praticamente todos os recursos da máquina a cada usuário. Pode-se, inclusive, determinar o tempo de consumo de CPU e memória RAM.

1° Ative o módulo abaixo no arquivo /etc/pam.d/login:

1 # vim /etc/pam.d/login



#Coloque no final da parte session se não existir coloque abaixo dos exemplos do arquivo

2 # session required pam_limits.so 

2° A configuração do módulo é feita no arquivo /etc/security/limits.conf:
sintaxe: <usuario/grupo> <tipo_de_limite> <recurso> <valor_do_limite>

3 ° Agora é só limitar o número de terminais consecutivos que um
usuário pode utilizar.

1 # vim /etc/security/limits.conf



#Se for um grupo tem que colocar um '@' na antes do nome do grupo

2 # <usuário> hard maxlogins 1 

4° Para testar, tente loguar-se 2 vezes com o usuário via SSH ou Localmente;


Espero ter ajudado.

----------------------------------------------------------
A Internet... foi projetada no espírito da confiança. Nem os protocolos de rede de comunicações nem o software que comanda os sistemas computacionais conectados a rede foram arquitetados para operação num ambiente no qual estão sob ataque.
----------------------------------------------------------

msoliver
(usa Debian)

Enviado em 04/09/2016 - 00:55h

Complementando a resposta do "ctw6av", segue:
http://www.ibm.com/developerworks/br/local/linux/li-limit-pam-resources/

Att.:
Marcelo OLiver

vip3r
(usa Outra)

Enviado em 04/09/2016 - 08:59h

entrei em /etc/pam.d/login

e adicionei no final dos exemplos
session required pam_limits.so

salvei e fechei

entrei em /etc/security/limits.conf

e coloquei assim

adriele hard maxlogins 1
joao hard maxlogins 1

testei esses dois usuarios, eles estavam logados pelo ssh e consegui logar tbm mesmo eles ja estando conectados,
será que fiz algo errado ?

ctw6av
(usa Nenhuma)

Enviado em 04/09/2016 - 14:40h

Veja se no arquivo /etc/ssh/sshd_config tem esta linha:

# use pam no 

Troque no por yes e reinicie o serviço ssh


EDIT: Muito cuidado no arquivo limits.conf pois dependendo de onde você coloca a opção, ela sobrescreve outras. Procure pela palavra session e coloque abaixo da ultima linha que contém a palavra.

----------------------------------------------------------
A Internet... foi projetada no espírito da confiança. Nem os protocolos de rede de comunicações nem o software que comanda os sistemas computacionais conectados a rede foram arquitetados para operação num ambiente no qual estão sob ataque.
----------------------------------------------------------

vip3r
(usa Outra)

Enviado em 04/09/2016 - 15:55h

la em /etc/ssh/sshd_config

estava assim
usePam yes

ai coloquei assim
use PAM yes

mas depois de reiniciar o ssh perdi todo o acesso ao mesmo, não conseguia entrar com nenhum usuario tive que entrar por outro modo, e voltar como estava.

----------------------------------------------
# set access limits.
# (Replaces /etc/login.access file)
# account required pam_access.so

# Sets up user limits according to /etc/security/limits.conf
# (Replaces the use of /etc/limits in old login)
session required pam_limits.so

# Prints the last login info upon succesful login
# (Replaces the `LASTLOG_ENAB' option from login.defs)
session optional pam_lastlog.so

# Prints the message of the day upon succesful login.
# (Replaces the `MOTD_FILE' option in login.defs)
# This includes a dynamically generated part from /run/motd.dynamic
# and a static (admin-editable) part from /etc/motd.
session optional pam_motd.so motd=/run/motd.dynamic noupdate
session optional pam_motd.so


esta no lugar certo ? ou devo colocar no final de tudo que tem escrito ?

ctw6av
(usa Nenhuma)

Enviado em 04/09/2016 - 19:02h

Sim está tudo certo, inclusive eu uso dessa maneira e sempre que tento me conectar mais de uma vez tenho essa saída no segundo terminal:

The authenticity of host '192.168.254.102 (192.168.254.102)' can't be established.

ECDSA key fingerprint is SHA256:vgTYkFkkkkkHodVrsrsrsrsvbTekdgaMm/ccR/HBbqvP3GWqxd191Ws.

Are you sure you want to continue connecting (yes/no)? yes

Warning: Permanently added '192.168.254.102' (ECDSA) to the list of known hosts.

ctw6av@192.168.254.102's password: 



The programs included with the Kali GNU/Linux system are free software;

the exact distribution terms for each program are described in the

individual files in /usr/share/doc/*/copyright.



GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent

permitted by applicable law.



Bem vindo ao terminal !!!.

Too many logins for 'ctw6av'. <<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<

Last login: Sun Sep  4 17:49:11 2016 from 192.168.254.106

Connection to 192.168.254.102 closed. 

Mas no arquivo /etc/ssh/sshd_config mude de volta para UsePAM yes


----------------------------------------------------------
A Internet... foi projetada no espírito da confiança. Nem os protocolos de rede de comunicações nem o software que comanda os sistemas computacionais conectados a rede foram arquitetados para operação num ambiente no qual estão sob ataque.
----------------------------------------------------------

vip3r
(usa Outra)

Enviado em 08/09/2016 - 22:11h

poxa vida, eu precisando tanto que isso funcionasse e ainda continuo conseguindo logar com o mesmo usuario em dois terminais diferentes. não sei mais o que fazer. /etc/pam.d/sshd achei ensinando a mesma forma porem falam pra adicionar o session required pam_limits.so dentro deste diretorio, porem no meu abre sem nada escrito quando entro com o nano? uso o ubunto 14 era pra estar funcionando nao era, do jeito que ensinou

ctw6av
(usa Nenhuma)

Enviado em 08/09/2016 - 22:24h

Como pôde ver, eu uso dessa forma e funciona! O seu também era para estar funcionando, faça o seguinte poste a saída do comando abaixo:

ldd $(which sshd) | grep libpam.so 

vip3r
(usa Outra)

Enviado em 08/09/2016 - 22:29h

libpam.so.0 => /lib/x86_64-linux-gnu/libpam.so.0 (0x00007f7b9ceab000)

vip3r
(usa Outra)

Enviado em 10/09/2016 - 08:34h

Amigo enviei aí o que pediu. Consegue ver algo diferente

ctw6av
(usa Nenhuma)

Enviado em 10/09/2016 - 13:34h

Até onde pude ver está tudo correto, para tentar "dar um jeito" eu teria que estar ai, por isso levanto a bandeira branca a partir de agora! kkkkkk