#%PAM-1.0
# SSH si SFTP (dropbear) cu parola receptorului, aceeasi ca la FTP: parola lui root din /etc/shadow (common-auth).
# dropbear trece prin PAM numai logarea cu parola (cheile din authorized_keys nu) si da adresa clientului in PAM_RHOST
# (cifre). Optiunea „Fără parolă în rețeaua locală” (Setări > Rețea & Conexiuni > Parola receptorului): se intra fara
# parola (pam_permit) numai daca AMANDOUA verificarile pam_access o spun:
# 1. comutatorul, /etc/security/hds-ssh-retea-locala.conf (il scrie ecranul): „refuzat” (PAM_PERM_DENIED) numai cand
#    optiunea e pornita si clientul e in reteaua locala (regula „-”); orice alt rezultat, si fisier lipsa, gol sau
#    stricat, sare direct la parola;
# 2. reteaua, /etc/security/hds-ssh-retele-locale.conf (fix, din pachetul hdsatelit-ssh): „reusit” numai pentru o adresa
#    din reteaua locala (regula „+”, apoi „- : ALL : ALL”); orice alt rezultat, si o eroare de citire, sare peste
#    pam_permit, la parola.
# O eroare de citire a comutatorului (pam_access o intoarce ca „refuzat”) nu poate deci deschide intrarea fara parola
# decat pentru adresele din reteaua locala, ca optiunea pornita.
# Parola insasi merge tot numai din reteaua de acasa: inaintea lui common-auth, aceeasi verificare a retelei opreste pe
# loc (requisite) logarea cu parola de la orice alta adresa, ca la FTP (/etc/pam.d/vsftpd). Cheile merg de oriunde.
# Un client pe IPv6 (cand IPv6 e pornit in Setari) intra numai cu cheia: pam_access 1.7.1 nu potriveste retelele IPv6
# scrise cu prefix (fe80::/10, fc00::/7), deci parola se primeste numai pe IPv4.

auth     [perm_denied=ignore default=2]  pam_access.so accessfile=/etc/security/hds-ssh-retea-locala.conf nodefgroup
auth     [success=ignore default=1]      pam_access.so accessfile=/etc/security/hds-ssh-retele-locale.conf nodefgroup
auth     [success=done default=ignore]    pam_permit.so
auth     requisite                        pam_access.so accessfile=/etc/security/hds-ssh-retele-locale.conf nodefgroup
auth     include  common-auth
account  include  common-account
