SSHD 登入通知與 Synology通知串接 ntfy.sh

簡短記錄一下，怎麼設定，當使用者登入時，直襲掛載自定義腳本並透過 ntfy.sh 發送即時通知。同場加映的是如何設置 Synology NAS DMS，同樣把訊息發送到 ntfy.sh

Pluggable Authentication Modules (PAM) 是 Linux 常見的一套驗證授權框架，sshd 等軟體依賴於 PAM 實現登入驗證與訪問控制。PAM 的強大之處在於它支援 Hook 功能。我們可以在驗證流程的特定階段插入自定義的模組，藉此修改 PAM 的行為。

首先我們需要修改 /etc/pam.d/sshd 文件，並在其中加入一行。

session optional pam_exec.so /usr/local/bin/login_notify.sh

首先第一欄表示要插入的模組類型，session 模組負責在使用者登入後到登出前所要做的工作（如掛載家目錄、記錄日誌等），其餘的類別還有 account（帳號權限）、auth（使用者驗證）、password（設定密碼）。

第二欄設定為 optional 表示如果該模組執行失敗不影響驗證流程。因為我們不希望通知服務暫時掛掉，就導致所有人無法登入伺服器。

pax_exec.so 就是我們要插入的模組，他提供了在登入登出前後執行特定腳本的功能，後面帶的是要執行的腳本路徑作為參數。

下面是實際的腳本，首先我們要判斷使用者是處在登入還是登出狀態，pam_exec.so 在執行時會把相關參數透過環境變數帶入，這邊我們驗證 PAM_TYPE 是 open_session 也就是登入成功後的狀態。

另外要組出發送的通知訊息，登入的使用者、IP 等資訊也可以透過PAM_USER, PAM_RHOST取得。

#!/bin/bash

exec >> /var/log/login_notify.log 2>&1

TIME=$(date '+%Y-%m-%d %H:%M:%S')
MESSAGE="User $PAM_USER Login Digital Ocean node from $PAM_RHOST @ $TIME"

if [[ "$PAM_TYPE" == "open_session" ]]; then
  curl \
    -H "Title: SSHD Login" \
    -H "Priority: default" \
    -d "$MESSAGE" \
    https://ntfy.sh/test_chennel
fi