Использование туннелей на основе ssh сейчас широко распространено. И многие используют его как
универсальное решение для организации туннелей внутрь локальной сети для доступа к различным сервисам.
И в связи с этим очень часто возникает вопрос "А как ограничить возможности такого туннеля".

Например:
есть компания, которая обслуживает ваш web сервер. Для выполнения этой работы требуется доступ
к серверу web-server.dmz по портам 80 и 443.

Решение:
на сервере ssh, через который создаётся туннель, выполняем:

1) добавляем пользователя aaa

2) устанавливаем ему шелл /bin/false (или другой, только так чтобы он не мог залогиниться)

3) Добавляем правила iptables:

   iptables -A OUTPUT -d web-server.dmz -p tcp -m tcp --dport 80 -m owner --uid-owner aaa -j ACCEPT
   iptables -A OUTPUT -d web-server.dmz -p tcp -m tcp --dport 443 -m owner --uid-owner aaa -j ACCEPT
   iptables -A OUTPUT -m owner --uid-owner aaa -j REJECT

URL:
Обсуждается: http://www.opennet.me/tips/info/2043.shtml

• Ограничение возможностей ssh туннеля при помощи iptables,pavlinux, 04:00 , 23-Апр-09
  • Ограничение возможностей ssh туннеля при помощи iptables,Avatar, 11:01 , 23-Апр-09
    • Ограничение возможностей ssh туннеля при помощи iptables,pavlinux, 15:58 , 23-Апр-09
• Ограничение возможностей ssh туннеля при помощи iptables,daevy, 06:17 , 23-Апр-09
• Ограничение возможностей ssh туннеля при помощи iptables,pavlinux, 23:04 , 23-Апр-09
  • Ограничение возможностей ssh туннеля при помощи iptables,User294, 23:13 , 23-Апр-09
• Ограничение возможностей ssh туннеля при помощи iptables,Backspace, 09:58 , 24-Апр-09
• Ограничение возможностей ssh туннеля при помощи iptables,anon, 11:43 , 29-Апр-09

Bad value for "--uid-owner" option: "aaa"

Числовое надо :)

# export AAA=$(id -u aaa);
# iptables -A OUTPUT -d web-server.dmz -p tcp -m tcp --dport 80 -m owner --uid-owner $AAA -j ACCEPT
# iptables -A OUTPUT -d web-server.dmz -p tcp -m tcp --dport 443 -m owner --uid-owner $AAA -j ACCEPT
# iptables -A OUTPUT -m owner --uid-owner $AAA -j REJECT

У меня имя нормально работает.

>У меня имя нормально работает.

Наверно айпистолы старый

iptables v1.4.2-rc1

и не забыть проверить чтоб
CONFIG_NETFILTER_XT_MATCH_OWNER=y

Я наконец придумал какой от этого вред :)
Можно узнать каким юзерам разрешено ходить в тунель.
Вот тут, как раз фишка --uid-owner которая работает с именами вместо UID
и сыграет свою злую роль. 8-)

>и сыграет свою злую роль. 8-)

Ужасно злую.А что это знание даст?

Вариант для ipfw :
ipfw add allow tcp from me to web-server.dmz 80,443 uid aaa
ipfw add deny tcp from me to any uid aaa

а последняя строка зачем?