Özel bir Debian deposuna erişimi güvenli bir şekilde kısıtlayın

Özel bir Debian deposuna erişimi kısıtlamak ve etkileşimli olmayan (yani bir komut dosyası kullanarak) kimlik doğrulaması yapabilmek için bir yöntem arıyordum

En yararlı makale aslında Debian yönetim sitesinden biri ama güvenli yöntem ssh ve genel / özel anahtarlar kullanırsa buldum . Harika çalışıyor ancak başarılı bir şekilde kimlik doğrulaması için her ana bilgisayarın ortak anahtarının uzak yetkili_anahtarlar dosyasında olması gerekir. Ssh: // için parola sağlama hakkında hiçbir şey söylemiyor ama sanırım mümkün olmalı.

Başka alternatifler denediniz mi (örn. Ftps)?

Şimdiden teşekkürler

apt-getSunucularınızda her zaman el ile çalışırsanız ( apt-getcrons tarafından başlatılan otomatik komutlar yoksa ), ssh aracı iletmeyi kullanmayı düşünebilirsiniz . Bu, yönettiğiniz sunucu başına bir genel / özel anahtar çifti yönetmek zorunda kalmaz ve muhtemelen her sunucuda özel anahtarlar bırakmaktan daha güvenlidir.

İlk yapılandırma - yönetmek istediğiniz sunuculara bağlanın ve buna benzer bir şey ekleyin /etc/apt/sources.list(bu örnekte sunucularınızın managerhesaba bağlanmasını istediğiniz varsayılmaktadır ):

    deb ssh://manager@my.repository.org/path other stuff

• johndoeörneğin , giriş bilgilerinizle kendi bilgisayarınızda bir çift özel / genel anahtar oluşturun (bilgisayarınızın debian'da çalışması şartıyla: eğer değilse, bunu yönetime adanmış bir debian sunucusundan yapabilirsiniz):

  ssh-keygen
  

• güçlü bir anahtar sözcükle korunduğundan emin olun

• ortak anahtarınızı depo sunucusuna kopyalayın /home/manager/.ssh/authorized_keys:

  ssh-copy-id manager@my.repository.org
  

Yönetim oturumu başına bir kez

• yazarak makinenizdeki ssh aracısını başlatın:

  eval `ssh-agent`
  

• anahtarınızı aracıya ekleyin (bu parolanızı gerektirir):

  ssh-add
  

Bir sunucuyu yönetme

• kullanarak yönetmek istediğiniz sunucuya bağlanın ssh -A( -Aaracı yönlendirmeyi etkinleştirir):

  ssh -A some.server.org
  

• köke geçin (kullanmak sudoistiyorsanız yapılandırmanız gerekir, /etc/sudoersaksi sudotakdirde aracı yönlendirmeyi keser, bunu okuyun ):

  su
  

• artık aracı yönlendirmesi sayesinde şifrenizi tekrar yazmadan deponun yönetici hesabına ssh kullanarak bağlanabilmeniz gerekir. Bu nedenle, apt-getiyi çalışmalıdır:

  apt-get udate
  

Yönetim oturumunuzu sonlandırma

• Sunucularınızı yönetmeyi bitirdiğinizde, anahtarlarınızı aracıdan kaldırın:

  ssh-add -D
  

Avantajları

• Çok fazla başlangıç ​​yapılandırması gerekmez
• Sadece bir özel anahtar gerekli
• Özel anahtar güçlü bir parola ile korunur
• Birisi sunucunuzdan birine kök erişimi elde ederse, depo sunucunuza hemen erişemez.
  • Bilgisayar korsanı sabırlı ve nitelikli ise, aracı yönlendirmeyi kullanarak sunucuya bağlanana kadar bekleyebileceğini ve depo sunucunuza erişmek için yönlendirme mekanizmasını ele geçirebileceğini unutmayın.
  • Bunu önlemeye yardımcı olmak için ssh-ask, anahtarınızı kullanma girişimlerini kabul etmek / reddetmek için kullanabilirsiniz.
  • Her durumda, korsan olacak değil o sadece amacıyla yönlendirme mekanizmasını kaçırmak mümkün olacak: özel anahtar kendisi erişmek kullanmak anahtarı ve sadece süre içinde sunucuya bağlanır.

Bunu yapmanın bir yolu, sadece belirli bir IP setinin depoya erişmesine izin vermektir. Bu, LAN ve VPN için çok iyi çalışıyor.

Basit ve verimli.

Ssh + genel / özel anahtarlar çözümü o kadar da kötü değil :

• istemci makinede root olarak giriş yap
• yazın ssh-keygen, sonrassh-copy-id your_login@your.repository.org

• aşağıdaki gibi düzenleme /etc/apt/sources.listve ekleme:

  deb ssh://your_login@your.repository.org/path other stuff
  

Verilen, her sunucunun ortak anahtarını sunucudaki ~/.ssh/authorized_keysdosyaya koymanızı gerektirir , ancak bu o kadar karmaşık değildir (yukarıya bakın) ve herhangi bir zamanda hangi sunuculara izin verdiğinizi veya vermediğinizi kontrol etmenizi sağlar (bir anahtarı herhangi bir zamanda authorized_keys).

Girişinize / şifrenize (temel kimlik doğrulama) güvenli bir şekilde deponuza bir https erişimi ayarlayabilirsiniz. Sorun, açık metin giriş / şifresini girmeniz gerektiğidir /etc/apt/sources.list(not: giriş / şifrenin girilmesine izin veren bir yama vardır/root/.netrc ).

Sorunuzdaki bağlantı birden çok yöntem gösteriyor. 2 numara, https + temel kimlik doğrulaması istiyorsunuz.