Forum Debian Users Gang

Gratuluję, zapomniałem, że w Proftpd da się ustawić kilka VIrtualhostów na jednym adresie i porcie, i każdemu zrobić inną konfigurację.

Co do ssh i sftp, dlaczego lepsze?
Spróbuj w ftp ustawić uwierzytelnienie kluczem dsa/rsa/ecdsa to pogadamy o tym, dlaczego.
I spróbuj zamknąć ftp w jednym porcie, żeby nie potrzebował portu ftp-data, i w trybie pasywnym XXX innych portów.
W ssh i realizowanym w ramach ssh protokole sftp masz tylko jeden port komunikacyjny.

I to wystarcza do: transferu plików, tunelu tcp, zdalnej powłoki, dodatkowo potrafi przeskakiwać proxy http.
Który serwer ftp takie drobiazgi potrafi?

Ostatnio edytowany przez Jacekalex (2012-07-25 00:08:36)

Proftpd i sftp, to ciężkie nieporozumienie, choć podobno działa.
Proftpd  miał częste wpadki bezpieczeństwa, wlącznie z trojanem trojanem zaszytym w jednej z wersji.
Jeśli koniecznie chcesz stawiać sftp, to ja stawialbym to na sewerze ssh, wtedy masz bezproblemową autoryzację kluczmi kryptograficznymi, i znacznie większe bezpieczeństwo, w dodatku wszystkie dziuy w ssh są w Debianie łatane blyskawicznie, poważne luki nawet w ciagu jednego/dwóch dni.

osobiście nigdy sftp w proftpd nie kondigurowalem, lepiej wziąlbym pure-ftpd w trybie TSL only.
Konfguracja pure jest banalnie prosta, a  jest to najbezpieczniejszy serwer z trójki Proftpd, PureFtpd i Vsftpd.

A tu conieco o sftp w ssh:
http://www.howtoforge.com/restricting-users-to-sftp-plus-setting-up-chrooted-ssh-sftp-debian-squeeze

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2012-07-26 00:40:24)

Jeśli to serwer dla Ciebie, to IMO nie ma sensu bawić się w chroot. Zablokuj logowanie jako root, wyłącz możliwość logowania hasłem (zostaw tylko wymianę kluczy), ewentualnie zmień port i będziesz miał bezpieczne i wygodne środowisko pracy.
Poza tym, jeśli user może hulać i rozrabiać po całym systemie, to masz większy problem niż konfiguracja ssh ;)

Edit:
jak już ogarnisz sam serwer, to polecam przeczytać jeszcze to:
http://jakilinux.org/uncategorized/sztuczki-z-ssh/
http://jakilinux.org/aplikacje/sztuczki-z-ssh-2-tunele/
np pozwala to korzystać z całego Internetu z sieci korporacyjnej. To najprzydatniejsza dla mnie funkcja ssh ;)

Ostatnio edytowany przez RadekD (2012-07-26 18:52:52)

@RadekD
Dzięki za linki, dodałem sobie je do zakładek, i w najbliższym czasie przeczytam.

@Jacekalex
Hmm usunąłem tego rssh całkowicie, i skonfigurowałem  sshd_config tak jak dałeś, wyskakiwał mi błąd przy  dodanym   "  PermitTunnel no " więc też usunąłem.
Natchomiast jak reszte zostawiłem to wyskakuje błąd:

Write failed: Broken pipe
Couldn't read packet: Connection reset by peer

oczywiśćie ten błąd jest przy logowaniu. Zmieniłem uprawnienia do folderu głównego użytkownika, aby był właścicielem, ale to nie pomaga.

Ostatnio edytowany przez sqrtek (2012-07-26 20:12:42)

Sorki za moją niewiedzę ale gdzie jest ten plik session.c?

mkdir /etc/ssh

[b]EDIT:[/b] W sumie możesz usunąć pakiety ssh, a potem zainstalować jeszcze raz… Sam katalog /etc/ssh akurat tworzony jest przez openssh-client. Tak na przyszłość używaj opcji [tt]--purge[/tt], służy do usuwania konfigów z /etc właśnie. Zanim usuniesz coś z /etc z palca, sprawdź do jakiego pakietu należy.

sessions.h - źródła openssh przed kompilacją, w Debianie na oczy ich nie zobaczysz, poza tym chyba nie ma takiej potrzeby.

Przykład bez majstrowania w źródłach:

groupadd -g 1005 bydle
mkdir -p /home/bydle
useradd bydle -u 1005 -g 1005 -m -d /home/bydle/bydle -s /bin/false

ls -ld /home /home/bydle /home/bydle/bydle
drwxr-xr-x 44 root  root  4096 07-26 22:19 /home
drwxr-x---  3 root  root  4096 07-26 22:19 /home/bydle
drwxr-xr-x  3 bydle bydle 4096 07-26 22:19 /home/bydle/bydle

I chrootnąć przez konfig ssh (sftp) możesz do folderu /home/bydle, wszystko powinno ruszyć bez kombinacji w źródlach ssh.
A jak chcesz udostęp[nić powlokę, to jailkitem dodaj w /home/bydle basha i te polecenia, które chcesz mieć w chroocie.

W konfigu ssh

    ChrootDirectory  /home/%u

Powinno ruszyć.

Ostatnio edytowany przez Jacekalex (2012-07-26 22:34:48)

@ArnVaker Dla pewnośći przeinstalowałem :)
@jacekalex dokładnie wszystko zrobiłem tam jak pisałeś, zrobiłem te konto bydle itd. A znowu Connection Closed :(

Nie wiem pokazać ten sshd_config lub jakieś logi bo ja już sam nie wiem?

Ostatnio edytowany przez sqrtek (2012-07-26 22:45:23)

Czyli chroot na sftp gotowy, tak?  ;)

To teraz moezssz powalczyć z shellem w chroocie, o ile jest potrzebny, sam się chętnie dowiem, jak to najlepiej zrobić, bo u mnie coś nie chce zaskoczyć  na razie, a dawno nie bawiłem się ssh w takim kontekście.

Tu masz staszą wersję z pam_chroot - wiki Debiana:
http://www.debian.org/doc/manuals/securing-debian-howto/ap-chroot-ssh-env.en.html
Tu przepis na Squeeze (nowszy):
http://www.howtoforge.com/restricting-users-to-sftp-plus-setting-up-chrooted-ssh-sftp-debian-squeeze
Tylko ostrożnie, to są rózne drogi dojsścia do podobnego celu, takze łatwo się wnich zakręcić jak słoik z konfiturami :D

Ostatnio edytowany przez Jacekalex (2012-07-27 12:04:04)