Tue, 3 May 2016 22:56:59 +0200 Sébastien Dinot <sebastien.dinot@free.fr> écrivait : > Que nenni ! Le serveur de sauvegarde doit être le moins exposé possible > car il est précieux. Il est donc largement préférable que le serveur de > sauvegarde se connecte sur les serveurs à sauvegarder que le contraire. OK, vendu ! Ce sera une config' Pull. > > Et pour durcir un peu la configuration sur les serveurs sauvegardés, il > faut faire en sorte que la clé utilisée ne soit acceptée que depuis l'IP > du serveur de sauvegarde, que les connexions interactives depuis > celui-ci soient interdites et que les commandes exécutables dans ce > contexte soient limitées via un petit script de filtrage. Un peu de détail avec ma compréhension de ce passage. . connexion SSH restreinte à une connexion par clés uniquement; . pas de connexion interactive = shell du user = /usr/sbin/nologin, voire /bin/false; . pour restreindre les commandes, il y a l'option 'command="..."' à insérer dans .ssh/authorized_keys; . pour l'IP ou le nom du host, l'option from="..." de ce même fichier; . et on peut utiliser les options no-agent-forwarding et no-port-forwarding; Dernier point, le paquet base-passwd [1] fournit un user backup (UID 34). Est-ce un bon candidat ou dois-je créer mon propre user ? > > Personnellement, j'utilise rdiff-backup ainsi pour sauvegarder depuis > des années une grosse vingtaine de serveurs et j'en suis pleinement > satisfait. Merci pour l'info. > > Sébastien Jean-Marc <jean-marc@6jf.be> [1] https://packages.debian.org/jessie/base-passwd
Attachment:
pgpiVYiMqzBib.pgp
Description: PGP signature