Решено: ssh-заблокировать 1 пользователя с 1 ip (как?)

[chifram]

как заблокировать ssh вход для одного пользователя с определенного ip,
например пользователь user1 не может залогинится с ip 192.168.1.2, а user2 может

[кодировщик]

Кажется за это отвечает UsersAllow в конфиге сервера

[Ленивая Бестолочь]

AllowUsers ;-)
но он не позволит разграничивать - какому юзеру с какого айпи можно, а с какого нельзя.

недавно обсуждали схожую тему - поищите по форуму. я тогда предложил вариант - запускать два сервера ссш - для одних юзеров и для других на разных портах и создавать правила iptables, чтобы он перенаправлял входящие подключения одному или другому серверу ssh, в зависимости от того, откуда они пришли.
не берусь говорить, что это лучшее решение, но другого пока не придумал.

[Seclorum]

AllowUsers/DenyUsers USER@HOST

разве не работает?

[Ленивая Бестолочь]

вот фак, действительно работает.
очень извиняюсь, кого смутил - в мане прочитал только про AllowGroups, а про @HOST оказывается ниже есть :-\

[jura12]

можно забанить в файле /etc/hosts.deny

[landgraf]

jura12
тогда забаните всех юзеров с этого хоста, что поТЗ недопустимо

[chifram]

Seclorum мерси
AllowUsers user1
AllowUsers user@10.1.1.0/24
DenyUsers user@10.1.1.2

очень правильная политика, даже в таком виде deny имеет выше приоритет
всем спасибо