Turgon37.ssh_server

Rol de Ansible para servidor SSH

=========

Descripción

:grey_exclamation: Antes de usar este rol, ten en cuenta que todos mis roles de Ansible están completamente escritos y adaptados a mi infraestructura de TI. Por lo tanto, aunque sean lo más genéricos posible, no necesariamente satisfarán tus necesidades. Te aconsejo que analices cuidadosamente lo que hacen y evalúes su capacidad para ser instalados de forma segura en tus servidores.

Este rol permite la configuración del servidor SSH.

Requisitos

Requiere Ansible >= 2.4

Dependencias

Familia de Sistemas Operativos

Este rol está disponible para Debian y CentOS.

Características

Hasta el momento, el rol se puede usar para:

• instalar sshd
• configurar sshd
• filtrar los módulos iniciales para eliminar números primos débiles
• factores locales

Variables del Rol

Todas las variables que se pueden sobreescribir están almacenadas en el archivo defaults/main.yml así como en la tabla a continuación. Para ver los valores predeterminados, consulta este archivo.

La mayoría de las variables se refieren a parámetros de configuración del sshd. Por favor, obtén información de la página del manual.

Coincidencias

Puedes configurar las coincidencias disponibles utilizando las variables ssh_server__match_list_global/group/host. Estas variables toman una lista de diccionarios. Cada diccionario debe tener la siguiente forma:

ssh_server__match_list_global
  - match: "criterios de coincidencia"
    options:                                     # opciones que se aplican si "match" coincide
      - AllowUsers test                          # una opción de cadena simple
      # un diccionario con opciones condicionadas por la versión
      # de acuerdo a la versión actual de sshd, la condición de versión más alta gana y se aplican sus opciones
      - 8.2: AuthorizedKeysCommand /bin/true     # (versión de cadena)
        7.6:                                     # (versión de lista)
          - AuthenticationMethods publickey
          - AllowUsers root
    state: absent               # estado opcional (por defecto a presente)

Los criterios de coincidencia disponibles y las opciones que puedes aplicar dependen de tu versión actual de sshd.

Un ejemplo de un grupo que solo está permitido para ejecutar sftp se da, si deseas habilitarlo puedes usar este bloque en el inventario:

ssh_server__match_list_global:
  - '{{ ssh_server__match_group_sftponly }}'

Hechos

Por defecto, los hechos locales se instalan y exponen las siguientes variables:

ansible_local.ssh_server:
  version_full: '7.9p1'
  version_major: '7'

Ejemplo

Playbook

Úsalo en un playbook de la siguiente manera:

- hosts: all
  roles:
    - turgon37.ssh_server

Inventario

Para usar este rol, crea o actualiza tu playbook según el siguiente ejemplo:

ssh_server__allow_agent_forwarding: false
ssh_server__allow_tcp_forwarding: false
ssh_server__allow_stream_local_forwarding: false
ssh_server__permit_tunnel: false
ssh_server__compression: true

ssh_server__allow_groups:
  - ssh
  - ssh-admins
ssh_server__permit_root_login: false
ssh_server__max_startups:
  start: 5
  rate: 80
  full: 10

ssh_server__match_list_global:
  - match: "LocalAddress 127.0.0.1"
    options:
      - AuthenticationMethods publickey,password
    state: present

  - match: "LocalAddress 10.0.0.1 Group ssh-admins"
    options:
      - AuthenticationMethods publickey password gssapi-with-mic

  - match: "LocalAddress 10.0.0.1 User root"
    options:
      - DenyUsers
      - AllowUsers root
      - DenyGroups
      - AllowGroups root
      - 7.0: 'PermitRootLogin prohibit-password'
        4.9: 'PermitRootLogin without-password'
      - AuthenticationMethods publickey
      - AuthorizedKeysFile /root/.ssh/authorized_keys
      - AuthorizedKeysCommand /bin/true

ssh_client__known_hosts_additionals:
  - '[gitlab]:7999 ssh-rsa XXXXX'

Ejemplo de configuración de FreeIPA

ssh_server__authorized_keys: '/dev/null'
ssh_server__authorized_keys_lookup: true
ssh_server__authorized_keys_lookup_command: /usr/bin/sss_ssh_authorizedkeys
ssh_server__pubkey_authentication: true
ssh_server__gssapi_authentication: true