通过用户+VPN IP地址对来限制Samba4身份验证

Question 1

我对这个特定主题不太热衷，但添加后auth required pam_rhosts.so，您确实创建了相应的~/.rhosts文件，对吗？

此链接说 rhosts 文件需要指定hostname [username]允许的对，我假设 ip 地址可以代替主机名同样有效。

您是否可以分享一些特定的日志消息（当然，如果需要的话，可以删除），以便提供更多见解？

编辑- 不知道这是否会起作用，但你可以尝试网络组。

我不确定设置这些的要求或程序，或者是否像创建和填充文件一样简单/etc/netgroup。

然后根据手册页中的示例成功时，似乎您可以为（主机，用户）对创建网络组，我想象它看起来像这样：

sambang (alicepc, alice) (bobpc, bob) (charliepc, charlie)

并将此模块添加到您的 samba 身份验证，以使 pam 身份验证在 (主机，用户) 对位于网络组中时成功，例如：

auth required pam_succeed_if.so audit user innetgr netgroup sambang

我可能会更换审计和调试直到它能够工作（假设它可以工作）。

Answer

我对这个特定主题不太热衷，但添加后auth required pam_rhosts.so，您确实创建了相应的~/.rhosts文件，对吗？

此链接说 rhosts 文件需要指定hostname [username]允许的对，我假设 ip 地址可以代替主机名同样有效。

您是否可以分享一些特定的日志消息（当然，如果需要的话，可以删除），以便提供更多见解？

编辑- 不知道这是否会起作用，但你可以尝试网络组。

我不确定设置这些的要求或程序，或者是否像创建和填充文件一样简单/etc/netgroup。

然后根据手册页中的示例成功时，似乎您可以为（主机，用户）对创建网络组，我想象它看起来像这样：

sambang (alicepc, alice) (bobpc, bob) (charliepc, charlie)

并将此模块添加到您的 samba 身份验证，以使 pam 身份验证在 (主机，用户) 对位于网络组中时成功，例如：

auth required pam_succeed_if.so audit user innetgr netgroup sambang

我可能会更换审计和调试直到它能够工作（假设它可以工作）。

Question 2

Samba 的每个 IP/子网文件的 ACL 是否/etc/hosts.allow足以/etc/hosts.deny限制用户的共享挂载？

看本文介绍如何设置 samba 的授权。

编辑：另外，这里是针对漫游主文件夹的 PAM 模块的答案。也许它与您的用例相同？

FWIW，我会尝试一下Hashicorp 的边界寻求 0 信任解决方案。

Answer

Samba 的每个 IP/子网文件的 ACL 是否/etc/hosts.allow足以/etc/hosts.deny限制用户的共享挂载？

看本文介绍如何设置 samba 的授权。

编辑：另外，这里是针对漫游主文件夹的 PAM 模块的答案。也许它与您的用例相同？

FWIW，我会尝试一下Hashicorp 的边界寻求 0 信任解决方案。

Question 3

我决定使用来监控用户会话smbstatus。这不会在登录时立即发生，因此它不会阻止某人登录，但它会在几秒钟内终止无效会话。这不是一个完美的解决方案，但在我们的例子中应该足够了。

以下是我在 PHP 中实现的方法：

#!/usr/bin/php
<?php
/**
@file blockInvalidSambaUserHosts.php
Block invalid user-host pairs from using Samba.
Run as a root service.
Configure valid pairs in /etc/samba/validUserHosts.conf with lines like:
alice 10.1.0.100
bob 10.1.0.101,10.2.0.88
**/

$STATUS_COMMAND = <<< 'END'
smbstatus -p | awk '/SMB3/{print $1" "$2" "$4}'
END;

$configFile = '/etc/samba/validUserHosts.conf';
if (!file_exists($configFile)) file_put_contents($configFile,'');

list($configTime,$validUserHosts) = getConfig($configFile);

while (true) {
    $connections = explode("\n",trim(shell_exec($STATUS_COMMAND)));
    foreach ($connections as $c) {
        if (!$c) continue;
        list($pid,$uname,$ip) = explode(' ',$c);

        if (!isset($validUserHosts[$uname])) $msg = "Invalid user $uname.";
        elseif (!in_array($ip,$validUserHosts[$uname])) $msg = "Invalid address $ip for user $uname.";
        else continue;

        error_log($msg);
        killProcess($ip);
        blockIPAddress($ip,$uname);
        //notify($ip,$uname);
    }

    sleep(10);

    // Reload config if it has been modified
    if (filemtime($configFile) > $configTime) {
        list($configTime,$validUserHosts) = getConfig($configFile);
    }
}

// Immediately stop any operations in progress
function killProcess(string $ip): void {
    shell_exec("kill -9 $ip");
    error_log("Killed smbd process for $ip.");
}

// Immediately block further traffic
function blockIPAddress(string $ip, string $uname): void {
    shell_exec("iptables -I INPUT -s $ip -j DROP -m comment --comment '$uname@$ip not valid for Samba'");
    error_log("All traffic from $ip is now blocked.");
}

function getConfig($configFile) {
    $utime = filemtime($configFile);
    $lines = file($configFile);
    $validUserHosts = [];
    foreach ($lines as $line) {
        list($uname,$hosts) = explode(' ',rtrim($line));
        $validUserHosts[$uname] = explode(',',$hosts);
    }

    return [$utime,$validUserHosts];
}

使用如下的 systemd 配置：

# @file blockInvalidSambaUserHosts.service
# @version 1.0.0
[Unit]
Description=Block invalid user-host pairs from using Samba
After=smbd.service

[Service]
Type=simple
ExecStart=/root/blockInvalidSambaUserHosts.php
StandardOutput=append:/var/log/sambaUserHostBlocks.log
Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target

Answer

我决定使用来监控用户会话smbstatus。这不会在登录时立即发生，因此它不会阻止某人登录，但它会在几秒钟内终止无效会话。这不是一个完美的解决方案，但在我们的例子中应该足够了。

以下是我在 PHP 中实现的方法：

#!/usr/bin/php
<?php
/**
@file blockInvalidSambaUserHosts.php
Block invalid user-host pairs from using Samba.
Run as a root service.
Configure valid pairs in /etc/samba/validUserHosts.conf with lines like:
alice 10.1.0.100
bob 10.1.0.101,10.2.0.88
**/

$STATUS_COMMAND = <<< 'END'
smbstatus -p | awk '/SMB3/{print $1" "$2" "$4}'
END;

$configFile = '/etc/samba/validUserHosts.conf';
if (!file_exists($configFile)) file_put_contents($configFile,'');

list($configTime,$validUserHosts) = getConfig($configFile);

while (true) {
    $connections = explode("\n",trim(shell_exec($STATUS_COMMAND)));
    foreach ($connections as $c) {
        if (!$c) continue;
        list($pid,$uname,$ip) = explode(' ',$c);

        if (!isset($validUserHosts[$uname])) $msg = "Invalid user $uname.";
        elseif (!in_array($ip,$validUserHosts[$uname])) $msg = "Invalid address $ip for user $uname.";
        else continue;

        error_log($msg);
        killProcess($ip);
        blockIPAddress($ip,$uname);
        //notify($ip,$uname);
    }

    sleep(10);

    // Reload config if it has been modified
    if (filemtime($configFile) > $configTime) {
        list($configTime,$validUserHosts) = getConfig($configFile);
    }
}

// Immediately stop any operations in progress
function killProcess(string $ip): void {
    shell_exec("kill -9 $ip");
    error_log("Killed smbd process for $ip.");
}

// Immediately block further traffic
function blockIPAddress(string $ip, string $uname): void {
    shell_exec("iptables -I INPUT -s $ip -j DROP -m comment --comment '$uname@$ip not valid for Samba'");
    error_log("All traffic from $ip is now blocked.");
}

function getConfig($configFile) {
    $utime = filemtime($configFile);
    $lines = file($configFile);
    $validUserHosts = [];
    foreach ($lines as $line) {
        list($uname,$hosts) = explode(' ',rtrim($line));
        $validUserHosts[$uname] = explode(',',$hosts);
    }

    return [$utime,$validUserHosts];
}

使用如下的 systemd 配置：

# @file blockInvalidSambaUserHosts.service
# @version 1.0.0
[Unit]
Description=Block invalid user-host pairs from using Samba
After=smbd.service

[Service]
Type=simple
ExecStart=/root/blockInvalidSambaUserHosts.php
StandardOutput=append:/var/log/sambaUserHostBlocks.log
Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target

通过用户+VPN IP地址对来限制Samba4身份验证

答案1

答案2

答案3

相关内容