Kam je nejlepší umístit domovský adresář nového uživatele?

Milí majitelé routerů Turris,

toto fórum bylo 9. 12. 2016 zmrazeno a nahrazeno naším novým Turris fórem. Ještě chvíli bude dostupné k prohlížení, ale již zde není možné přispívat. Více informací naleznete v oznámení o uzavření fóra.

Dear Turris routers users,

this forum has been frozen on Dec 9th, 2016 and replaced by our new Turris forum. It will be read-only accessible for some time after. For more information, read the announcement about closing the forum.

Od Jan Nekvasil

Dne 2014-06-11 22:25

Dobrý den,

vytvořil jsem nového uživatele s velmi omezenými právy, jehož účet používám k navázání ssh tunelu vystavujícího port počítače z jiné sítě na vnitřním rozhraní Turrisu. Protože potřebuji někam uložit odpovídající .ssh/authorized_keys, nastavil jsem domovský adresář tohoto uživatele na /var/jmenouzivatele. Po restartu routeru však ve /var už tento adresář není, předpokládám tedy, že systém obsah /var nezachovává nebo jej nějak čistí.

Kam je tedy nejlepší umístit domovský adresář nového nesystémového uživatele? Vzhledem k tomu, že tento uživatel nebude nikdy žádná data zapisovat, a jde v podstatě jen o jediný konfigurační soubor, šlo by asi použít i /etc, ale to se mi zdá poněkud neobvyklé.

Předem děkuji za odpovědi.

Od Michal Stulík

Dne 2014-06-12 07:27

Adresář /var je v turrisu jen symlink do /tmp, který se pochopitelně při restartu maže. Založte si adresář /home a do něj dávejte domovské adresáře uživatelů, tak jak je to v Linuxu dobrým zvykem :).

Od Jan Nekvasil

Dne 2014-06-12 07:41

Děkuji za rychlou odpověď. S tím symlinkem mne to nenapadlo, ale mohlo mne to trknout. /home si samozřejmě založím.

Od PabloRadegast (>)

Dne 2014-06-12 09:03

Dobry den,

mohl bych se zeptat, kde a jak jste nastavil v Luci noveho uzivatele? Hledal jsem, hledal, ale nenasel

Od Jan Nekvasil

Dne 2014-06-12 09:17

V LuCI to myslím nikde není, uživatele jsem vytvořil přes ssh z příkazové řádky následovně: useradd --shell /bin/false --home-dir /home/uživatel --create-home uživatel (jen jsem tam měl původně /var místo /home).

Od Mishka

Dne 2014-06-12 09:22

Akorát bych mu nedával /bin/false ale např. /bin/bash

Od Jan Nekvasil

Dne 2014-06-12 10:40

Potřeboval jsem uživatele, jehož účet by byl maximálně omezen, přístup do shellu tedy nepřicházel v úvahu. Odpovídající záznam v /etc/passwd nyní vypadá následovně:
uživatel:x:1000:1000::/home/uživatel:/bin/false

A v /etc/shadow:
uživatel:*:16231:0:99999:7:::

Ta hvězdička v druhém poli mi zaručuje, že se na uživatele lze přihlásit klíčem, ale už ne heslem (což mám stejně zakázané v /etc/config/sshd volbou option PasswordAuthentication no). Navíc jsem mu ještě v /etc/config/sshd dle svého nejlepšího vědomí a svědomí omezil forwarding portů tak, aby mohl na Turrisu vystavovat ty své, aniž by však mohl vystavovat porty z mojí sítě u sebe.

config match
    option type User
    option match uživatel
    option X11Forwarding no
    option GatewayPorts yes
    option AllowAgentForwarding no
    option PermitOpen 0.0.0.0:1

Pokud v tom někdo vidíte nějaké potenciální bezpečností riziko, dejte mi prosím vědět.