rsync logs with restricted ssh

SSH is really the Swiss Army pocket knife of sysadmin tools. When I needed to periodically synchronize log files from an old server (old as in customer-would-never-update-it-or-install-anything-new), I built a simple and secure solution using rsync and ssh. This is what I did:

(I will call “remote” the system where the logs I want to retrieve are, and “local” system where I want them to be copied to) First I created an account with a restricted shell (ideally this should be a system account, but we’ll get there!):

remote# adduser --ingroup nogroup --shell /bin/rbash rlogs

Then locally, I created a new, password-less ssh key pair, copying it to my remote system:

local$ ssh-keygen
>>> When asked where to save it, I chose a different name, like .ssh/rlogs
local$ ssh-copy-id -i .ssh/rlogs.pub rlogs@remote
...
>>> You can delete the password of user rlogs, so it, effectively,
>>> cannot log-in with it (almost like a system user).
remote# passwd -d rlogs

Now you should be able to run password-less rsync already (note that I use -e option to point to a different key):

local$ mkdir logs
local$ rsync -av -e "ssh -i $HOME/.ssh/rlogs" rlogs@remote:"logs/" logs/
receiving file list ... done
./
file1
file2
...
fileN

But even with a restricted shell, I wanted even less possible things to happen. That’s what command= directive is for… It will only allow that command to be run in a session started by that key. Since rsync translates a lot of its command-line options, I run it again with a dirty ps-in-a-loop in the remote host, just to see what running rsync locally causes remotely:

remote$ while 1; do ps wp $(pgrep rsync); sleep 1; done
...
local$ rsync -av -e "ssh -i $HOME/.ssh/rlogs" rlogs@remote:"logs/" logs/
>>> in the remote loop you should be able to get the command:
  PID TTY      STAT   TIME COMMAND
 6183 ?        Ss     0:00 /usr/bin/rsync --server --sender -vlogDtpre.i . logs/

Here comes the authorized_keys magic. At the remote host I edited .ssh/authorized_keys to add a command= line with what I found out in my dirty loop. Also, I added a couple of directives to restrict it even further (they are pretty self-explanatory):

rlogs@remote$ cat .ssh/authorized_keys
command="rsync --server --sender -vlogDtpre.i . logs/",no-port-forwarding,no-agent-forwarding,no-X11-forwarding,no-pty ssh-rsa (...) myuser@local

Now everything is set. I just added the rsync command to the local crontab and it’s done.

O que médicos deviam aprender com as bibliotecas

Bibliotecas são muito mais simples do que os serviços de emergência médica… no entanto, as idéias mais simples são as que costumam ser mais efetivas. Isso é tão verdade que é base de um conceito bastante difundido cientificamente que se chama Navalha de Occam. Observando o caos que o atendimento de emergência do sistema de saúde brasileiro se tornou (do ponto de vista de quem está dentro dele), cada vez mais admiro soluções simples como as bibliotecas.

As bibliotecas são sistemas de empréstimo de livros, certo? Uma boa parte cobra uma mensalidade, ou anualidade, para manter o funcionamento: em geral uma quantia baixa, da qual ninguém reclama. No entanto, apenas emprestam o livro por um limitado número de dias (afinal de contas, o número de exemplares é igualmente limitado). Se você quiser ficar com o livro o semestre inteiro, que compre uma edição, certo? O que acontece com os que excedem o número de dias do empréstimo? Em geral, uma multa (pecuniária) é aplicada. Ou seja, as bibliotecas aplicam de forma exemplar o princípio econômico do incentivo (nesse caso o oposto disso): punem quem foge das regras. O atendimento de emergência não.

Em primeiro lugar, o que é uma emergência? É claro que, para quem está com um problema de saúde, seu caso é sempre uma emergência… Mas alguém que está com dor nas costas por todo o último mês seguramente seria melhor atendido no posto de saúde, no ambulatório, ou no consultório do seu médico… não tem nenhuma justificativa para procurar o serviço de emergência às 3 horas da manhã e tomar o lugar de, quem sabe, alguém que acabou de sofrer um acidente de motocicleta. Sim, é muito bom termos um serviço médico que funciona 24 horas, mas como coibir abusos (e, em se tratando de seres humanos, podemos garantir que abusos acontecem sempre)? Simples, as bibliotecas têm a solução: multa para o sujeito!

Você acha radical? Isso é porque você nunca precisou de uma emergência para um caso realmente de emergência e teve o seu atendimento postergado porque ela estava lotada. Ou talvez porque você nunca atendeu em uma emergência nessas condições. As autoridades italianas, no entanto, não pensam assim… pensam exatamente como os bibliotecários:

O cartaz acima estava na porta de entrada de uma emergência italiana. Essa foto foi tirada por mim, quando estive lá em meados do ano passado. Basicamente ele diz o seguinte: Todos serão atendidos, mas se o médico que lhe prestar atendimento decidir que seu caso não era uma emergência, ou que seria melhor atendido pelo serviço regular de saúde, você receberá o “Código Branco”, e deve pagar € 25! Em seguida ele lista as exceções (sabiamente incluindo as crianças, por exemplo, em quem decidir se o caso é uma emergência é mais difícil) e os locais mais próximos pertencentes ao sistema regular de saúde.

Claro! No Brasil existem diversas outras questões. Estar com uma dor nas costas há um mês e somente conseguir uma consulta no posto de saúde para daqui a mais um mês é uma vergonha, com certeza! Mas ser atendido em uma emergência não é a solução! Existem diversas soluções, entre elas efetivamente cancelar as consultas que já foram realizadas ou que ficarão vagas (Sim. Muita gente marca o atendimento e ou procura outro serviço ou simplesmente não aparece) – que podem chegar a mais da metade das consultas! No entanto essa é uma outra história… Por enquanto, aliviar as emergências, isso sim, é uma emergência.