Разрешить доступ по SSH, но ограничить доступ root к заданному набору IP-адресов
Хорошо технически Вы можете (установить все Ose в режиме EFI и добавить загрузчики режима BIOS для тех, которых Вы хотите к), но я рекомендовал бы против той пустой траты времени, так как Вы будете, вероятно, скучать для переключения режимов довольно скоро; если единственная ОС требует EFI, Вы - более обеспеченный идущий EFI, и использование повторно находят или переоборудуют.
Следите за тем установщиком Debian 7.0 beta4, испытал некоторые затруднения при установке GRUB в режиме EFI (у этого должно быть некоторое более или менее легкое обходное решение, но IIRC находятся все еще в 7.0.0 выпусках).
В случае, если требуется проверить, удается ли это для Вас, пробуют openSUSE 12.2/12.3 или ALT Linux 7.0, я протестировал бывший и добавил поддержку UEFI последнему. Получение Debian там не должно представлять огромную проблему на то, что прочитало книгу Rod по EFI также.
В зависимости от вашей версии ssh вы можете установить условие соответствия
для ваших пользователей AllowUsers. man sshd_config перечисляет разрешенные команды в разделе Match. Если здесь есть AllowUsers, вы можете попробовать следующее: убедитесь, что он находится в конце файла.
Match User root
AllowUsers root@ a.b.c.d root@q.r.s.t
Например, не в OpenSSH_6.0p1 Debian, но нормально в OpenSSH_6.6.1p1 Ubuntu.
Другая рабочая группа указала мне на модуль pam_access. При этом используется формат, обычно встречающийся в /etc/security/access.conf, но можно указать любой файл; он может быть включен для всей системы, или только для процесса sshd. Я не пробовал этого, но предположительно я могу настроить pam_access, используя настройки по умолчанию (на RHEL), добавив его в раздел auth в /etc/pam.d/sshd. Затем файл access.conf выглядит следующим образом:
+ : root : hosta hostb hostx
- : root : ALL
Моя рабочая коллегия указала мне в том же направлении, что и /u/meuh, используя несколько иной подход.
Match Address "172.24.*.33"
PermitRootLogin yes
Match Address "192.168.1.18,192.168.1.20"
PermitRootLogin yes