带组授权的 SSH jumpbox

Question

我正在尝试设置 SSH Jumpbox。登录 Jumpbox 的用户需要能够根据他们的组向其他 SSH 服务器授权。

（UserA 在组 Project1，UserB 在组 Project2，UserA 应该能够 ssh 到 project1.com，但不是 UserB）

有没有办法在 Jumpbox 级别上实现这一点？

Answer 1

假设 jumpbox 是一个 linux box，iptables可以有用地用于OUTPUT链上来限制哪些组成员可以连接到哪些服务器。就像是

iptables -A OUTPUT --gid-owner project1 -p tcp --dport 22 -d ip.of.project1.com -j ACCEPT
iptables -A OUTPUT --gid-owner project1 -j REJECT
iptables -A OUTPUT --gid-owner project2 -p tcp --dport 22 -d ip.of.project2.com -j ACCEPT
iptables -A OUTPUT --gid-owner project2 -j REJECT

这有一个方便的副作用，即限制组 project1 的成员除了通过ssh 连接到 project1.com之外的任何事情，对于 project2 和 project2.com 也是如此。INPUT如果您限制INPUT流量，您可能还需要一些相应的链中规则。