« Serveur sftp +rssh+chroot » : différence entre les versions

Aller à la navigation Aller à la recherche

Serveur sftp +rssh+chroot (voir la source)

Version du 13 février 2019 à 11:51

2 191 octets ajoutés ,  il y a 6 ans
m
→‎Création du chroot : changé balise <code bash> en <pre>
m (→‎Création du chroot : changé balise <code bash> en <pre>)
 
(26 versions intermédiaires par 7 utilisateurs non affichées)
Ligne 1 : Ligne 1 :
= Présentation  =
= Présentation  =


sftp est un programme similaire à ftp, mais au dessus d'un tunnel ssh. Il a donc toutes les fonctionnalité de ftp, mais avec la sécurité de ssh en plus (cryptage des logins, mots de passe et des transferts de données).<br>  
sftp est un programme similaire à ftp, mais au dessus d'un tunnel ssh. Il a donc toutes les fonctionnalités de ftp, mais avec la sécurité de ssh en plus (cryptage des logins, mots de passe et des transferts de données).<br>  


*Côté serveur: le serveur sftp est fourni par openssh-server.Pour plus de sécurité, nous le coupleront avec rssh, un shell réduit qui ne permettra aux clients connectés à notre serveur de ne faire que du sftp. De plus, nous allons créer un chroot, une technique qui va "enfermer" les clients dans un dossier de notre serveur. Aucune de leurs actions ne pourront avoir de conséquences à l'extérieur de ce dossier.<br>  
*Côté serveur: le serveur sftp est fourni par openssh-server.Pour plus de sécurité, nous le couplerons avec rssh, un shell réduit qui ne permettra aux clients connectés à notre serveur de ne faire que du sftp. De plus, nous allons créer un chroot, une technique qui va "enfermer" les clients dans un répertoire de notre serveur. Aucune de leurs actions ne pourront avoir de conséquences à l'extérieur de ce répertoire.<br>  
*Côté client:Afin d'utiliser un serveur sftp, le client doit avoir un client sftp (sftp en ligne de commande ou filezilla).<br>
*Côté client:Afin d'utiliser un serveur sftp, le client doit avoir un client sftp (sftp en ligne de commande ou filezilla).<br>


= Installation de openssh-server et rssh =
= Installation de openssh-server et rssh =


On va tout simplement les installer avec aptitude, qui s'occupera d'installer les dépendances:  
On va tout simplement les installer avec aptitude, qui s'occupera d'installer les dépendances :  


  #aptitude install openssh-server rssh  
  # aptitude install openssh-server rssh  


=== Configuration du serveur ssh  ===
=== Configuration du serveur ssh  ===


Le fichier de configuration est: /etc/ssh/sshd_config.<br>  
Le fichier de configuration est : /etc/ssh/sshd_config.<br>  


*Tout d'abord, changeons le port d'écoute par défaut (le 22), et mettons, par exemple, le 666. De cette manière, on évitera les robots qui scannent le net à la recherche de serveurs.
* Tout d'abord, changeons le port d'écoute par défaut (le 22), et mettons, par exemple, le 666. De cette manière, on évitera les robots qui scannent le net à la recherche de serveurs.


  # What ports, IPs and protocols we listen for
  # What ports, IPs and protocols we listen for
   Port 666
   Port 666


Remarque: N'oubliez pas d'ouvrir le port dans votre firewall, et de rediriger le port de votre routeur ( si vous êtes derrière un routeur) vers votre serveur.
Remarque: N'oubliez pas d'ouvrir le port dans votre firewall, et de rediriger le port de votre routeur (si vous êtes derrière un routeur) vers votre serveur.


*Dans la section authentification, on interdit la connection en tant que root:
* Dans la section authentification, on interdit la connexion en tant que root :


# PermitRootLogin no
  PermitRootLogin no


*Inutile dans notre cas d'activer le X11forwarding
* Inutile dans notre cas d'activer le X11forwarding :


#X11Forwarding no
  X11Forwarding no
* On indique à sshd où se trouve sftp-server: sftp-server est appelé par sshd, et gère les requêtes sftp.
 
  Subsystem sftp /usr/lib/openssh/sftp-server


=== Configuration de rssh ===
=== Configuration de rssh ===


L'intérêt de rssh est de donner à chaque utilisateur du serveur un shell réduit. Dans notre cas, ce shell sera réduit à sftp, c'est à dire à ttes les commandes dispensées par sftp&nbsp;:  
L'intérêt de rssh est de donner à chaque utilisateur du serveur un shell réduit. Dans notre cas, ce shell sera réduit à sftp, c'est à dire à toutes les commandes dispensées par sftp&nbsp;:  


   cd path                    Change remote directory to 'path'
   cd path                    Change remote directory to 'path'
Ligne 62 : Ligne 65 :
  &nbsp;?                          Synonym for help
  &nbsp;?                          Synonym for help


Le fichier de configuration est /etc/rssh.conf Remplaçons celui créé lors de l'installation:  
Le fichier de configuration est /etc/rssh.conf. Remplaçons celui créé lors de l'installation :  


  # mv rssh.conf rssh.conf.old  
  # mv rssh.conf rssh.conf.old  
Ligne 71 : Ligne 74 :
= Création du chroot =
= Création du chroot =


Nous allons "chrooter" nos futurs utilisateurs du serveur sftp dans un dossier, nous nous servirons dans notre cas de /home/sftp:<br>  
Nous allons "chrooter" nos futurs utilisateurs du serveur sftp dans un répertoire, nous nous servirons dans notre cas de /home/sftp:<br>  


  #mkdir /home/sftp
  # mkdir /home/sftp


L'intérêt est que ces utilisateurs verront /home/sftp comme racine, et ne pourront agir que dans celui-là (et uniquement avec les commandes fournies par sftp, étant donné qu'on leur donnera comme shell rssh).<br>  
L'intérêt est que ces utilisateurs verront /home/sftp comme racine, et ne pourront agir que dans celui-là (et uniquement avec les commandes fournies par sftp, étant donné qu'on leur donnera comme shell rssh).<br>  


*copie des binaires et de leur dépendances
* copie des binaires et de leur dépendances


Il va donc falloir installer dans le chroot la commande sftp et ses dépendances, ainsi que sftp-server.<br> On va, pour ce faire, utiliser le script copie_binaire:  
Il va donc falloir installer dans le chroot la commande sftp et ses dépendances, ainsi que sftp-server.<br> On va, pour ce faire, utiliser le script copie_binaire :  


#!/bin/bash
<pre>
install -D $1 $2$1
#!/bin/bash
for i in `ldd $1 | grep -o '/[^[:space:]]*'`; do  
install -D $1 $2$1
        if [&nbsp;! -e $2$i ]; then install -D $i $2$i; fi
for i in `ldd $1 | grep -o '/[^[:space:]]*'`; do  
done
      if [ ! -e $2$i ]; then install -D $i $2$i; fi
done
</pre>


Ce script permet de copier un binaire et ses dépendances (et permet d'éviter de tout faire avec ldd et cp "à la main").<br> Copions donc sftp de la manière suivante:  
Ce script permet de copier un binaire et ses dépendances (et permet d'éviter de tout faire avec ldd et cp "à la main").<br>
On le rend au préalable executable:


  #./copie_binaire /usr/bin/sftp /home/sftp
  # chmod a+x ./copie_binaire


Voila, sftp et ses dépendances sont dans /home/sftp (plus précisément dans /home/sftp/usr et /home/sftp/lib).<br>
Copions donc sftp et ses dépendances de la manière suivante :  
Il faut en plus copier libnss-file.so.2:  


  #cp /lib/libnss-file.so.2 /home/sftp/lib
  # ./copie_binaire /usr/bin/sftp /home/sftp
 
Voilà, sftp et ses dépendances sont dans /home/sftp (plus précisément dans /home/sftp/usr et /home/sftp/lib).<br>
Il faut en plus copier libnss-file.so.2 :
 
# cp /lib/libnss_files.so.2 /home/sftp/lib
   
   
Excepté si vous êtes sur une lenny/i386 , il faut en plus copier /usr/lib/openssh/sftp-server dans le chroot (a faire donc si vous êtes sur lenny/amd64 ou squeeze):
Code:
# mkdir /home/sftp/usr/lib/openssh
# cp  /usr/lib/openssh/sftp-server /home/sftp/usr/lib/openssh/


*création de /dev/null dans le chroot
* création de /dev/null dans le chroot


Pour le bon fonctionnement de sftp, il est nécessaire d'avoir un dev/null dans le chroot:  
Pour le bon fonctionnement de sftp, il est nécessaire d'avoir un dev/null dans le chroot :  


  #mknod dev/null c 1 3  chmod 666 dev/null
# cd /home/sftp
# mkdir dev
  # mknod dev/null c 1 3
  # chmod 666 dev/null


*Placer le setuid sur le rssh_chroot_helper
* Placer le setuid sur le rssh_chroot_helper


  #chmod u+s /usr/lib/rssh/rssh_chroot_helper
  # chmod u+s /usr/lib/rssh/rssh_chroot_helper


*Ajouter ligne chrootpath /home/sftp dans rssh.conf
* Ajouter ligne chrootpath /home/sftp dans rssh.conf


  # echo 'chrootpath = "/home/sftp"' &gt;&gt; /etc/rssh.conf
  # echo 'chrootpath = "/home/sftp"' >> /etc/rssh.conf


Bon, le chroot est prêt, ne manque plus que les clients...
Bon, le chroot est prêt, ne manquent plus que les clients...


= Création des utilisateurs =
= Création des utilisateurs =


*Créons l'utilisateur machin, futur client de notre serveur (en n'oubliant pas de lui donner comme shell rssh)
* créons l'utilisateur machin, futur client de notre serveur (en n'oubliant pas de lui donner comme shell rssh)


  #adduser machin --shell /usr/bin/rssh
  # adduser machin --shell /usr/bin/rssh


On vous demande un mot de passe pour cet utilisateur, mettez-en un "béton", sinon tout ce qui est fait côté "sécu" ne sert à rien.  
On vous demande un mot de passe pour cet utilisateur, mettez-en un "béton", sinon tout ce qui est fait côté "sécu" ne sert à rien.  


*ajoutons cet utilisateur dans le fichier passwd du chroot
* ajoutons cet utilisateur dans le fichier passwd du chroot


  #grep machin /etc/passwd &gt; /home/sftp/etc/passwd
# mkdir /home/sftp/etc
  # grep '^machin:' /etc/passwd >> /home/sftp/etc/passwd
 
* Déclarons le comme utilisateur autorisé dans /etc/ssh/sshd_config:
#utilisateurs autorisés
  AllowUsers machin


= Tests =
= Tests =
Nous voilà presque prêt pour les tests. Il faut juste redémarrer sshd au préalable:
# /etc/init.d/ssh restart
=== en local ===
Testons tout ça directement sur le serveur :


=== en local ===
--> sur lenny:
 
  $ sftp -oPort=666 machin@localhost


Testons tout ça directement sur le serveur:  
--> sur squeeze:


$ sftp machin@localhost
  $ sftp -P 666 machin@localhost


Après avoir entrer votre mot de passe, si tout va bien, vous devez avoir une invite de commande&nbsp;:  
Après avoir entré votre mot de passe, si tout va bien, vous devez avoir une invite de commande&nbsp;:  


  sftp&gt;
  sftp&gt;
Ligne 139 : Ligne 168 :
=== en réseau ===
=== en réseau ===


  $ sftp machin@IP_de_votre_serveur
--> sur lenny:
  $ sftp -oPort=666 machin@IP_de_votre_serveur
 
--> sur squeeze:
$ sftp -P 666 machin@IP_de_votre_serveur


=== en cas de problèmes ===
=== en cas de problèmes ===


*Vérifier la création du chroot  
* vérifier la création du chroot  
*le port est-il ouvert sur le firewall&nbsp;?  
* le port est-il ouvert sur le firewall&nbsp;?  
*les utilisateurs créés sont ils bien dans le passwd du chroot&nbsp;?
* les utilisateurs créés sont ils bien dans le passwd du chroot&nbsp;?


= Les logs  =
= Les logs  =
Ligne 154 : Ligne 187 :
  establish a logging socket inside the chroot directory.
  establish a logging socket inside the chroot directory.


d'où, comme le dit man syslogd:


=== syslog ===
Comme le dit man syslogd :
  -a socket: Using this argument you can specify additional sockets from that syslogd has to listen to.
  -a socket: Using this argument you can specify additional sockets from that syslogd has to listen to.
             This is needed if you're going to let some  daemon  run within a chroot() environment.
             This is needed if you're going to let some  daemon  run within a chroot() environment.
Ligne 164 : Ligne 198 :
  #/etc/init.d/sysklogd restart
  #/etc/init.d/sysklogd restart


Bon, c'est bon, on va avoir des logs, mais ils seront plus lisibles, si on créé un fichier de log pour sftp. Pour cela, on édite /etc/ssh/sshd_config , pour y faire apparaître les lignes  
Bon, c'est bon, on va avoir des logs, mais ils seront plus lisibles, si on créé un fichier de log pour sftp. Pour cela, on édite /etc/ssh/sshd_config , pour y faire apparaître les lignes :


  # Logging
  # Logging
Ligne 170 : Ligne 204 :
  LogLevel INFO  
  LogLevel INFO  


et  
(ça nous donnera les logs de sshd concernant les connexions )
et on rajoute -f LOCAL7 -l INFO à la ligne concernant le subsystem:


  Subsystem sftp /usr/lib/openssh/sftp-server -f LOCAL7 -l INFO
  Subsystem sftp /usr/lib/openssh/sftp-server -f LOCAL7 -l INFO


Puis, éditer syslog.conf, pour y ajouter les lignes:  
Puis, éditer syslog.conf, pour y ajouter les lignes :  


  local7.info /var/log/sftp
  local7.info /var/log/sftp
  local6.info /var/log/sftp_connexion
  local6.info /var/log/sftp_connexion


Et voila, vous pouvez consulter les logs de transferts de fichiers dans /var/log/sftp, et les logs de connexions dans /var/log/sftp_connexion.
Puis on redémarre syslogd:
#/etc/init.d/sysklogd restart
 
=== rsyslog ===
C'est la même procédure que pour syslog, mais pas la même syntaxe:
Ajouter $AddUnixListenSocket /home/sftp/dev/log dans /etc/rsyslog.conf (et vérifier que $ModLoad imuxsock est décommenté au début du fichier, sinon, le décommenter).
Redémarrer rsyslog et vérifier qu'il a bien créé /dev/log dans le chroot:
#/etc/init.d/rsyslog restart
# ls -al /home/sftp/dev/log
srw-rw-rw- 1 root root 0  7 sept. 11:34 /home/sftp/dev/log
La suite de la procédure est identique au cas syslog:
Editer /etc/ssh/sshd_config , pour y faire apparaître les lignes
# Logging
SyslogFacility LOCAL6
LogLevel INFO
Rajouter -f LOCAL7 -l INFO à la ligne concernant le subsystem:
Subsystem sftp /usr/lib/openssh/sftp-server -f LOCAL7 -l INFO
 
Redémarrer sshd:
# /etc/init.d/ssh restart
Puis, éditer rsyslog.conf, pour y ajouter les lignes:
local7.info /var/log/sftp
local6.info /var/log/sshd
 
Puis on redémarre rsyslog:
#/etc/init.d/rsyslog restart
 
=== Conclusion ===
Vous pouvez consulter les logs de transferts de fichiers dans /var/log/sftp, et les logs de connexions dans /var/log/sshd.
 
=Côté client: Filezilla=
=Côté client: Filezilla=
===Configuration===
===Configuration===
MicP
editor
621

modifications

Récupérée de « https://forum-debian.fr/wiki/Spécial:MobileDiff/1494...7700 »

Menu de navigation