« Serveur sftp +rssh+chroot » : différence entre les versions

Aller à la navigation Aller à la recherche

Serveur sftp +rssh+chroot (voir la source)

Version du 13 février 2019 à 11:51

1 613 octets ajoutés ,  il y a 6 ans
m
→‎Création du chroot : changé balise <code bash> en <pre>
m (→‎Création du chroot : changé balise <code bash> en <pre>)
 
(17 versions intermédiaires par 5 utilisateurs non affichées)
Ligne 3 : Ligne 3 :
sftp est un programme similaire à ftp, mais au dessus d'un tunnel ssh. Il a donc toutes les fonctionnalités de ftp, mais avec la sécurité de ssh en plus (cryptage des logins, mots de passe et des transferts de données).<br>  
sftp est un programme similaire à ftp, mais au dessus d'un tunnel ssh. Il a donc toutes les fonctionnalités de ftp, mais avec la sécurité de ssh en plus (cryptage des logins, mots de passe et des transferts de données).<br>  


*Côté serveur: le serveur sftp est fourni par openssh-server.Pour plus de sécurité, nous le couplerons avec rssh, un shell réduit qui ne permettra aux clients connectés à notre serveur de ne faire que du sftp. De plus, nous allons créer un chroot, une technique qui va "enfermer" les clients dans un dossier de notre serveur. Aucune de leurs actions ne pourront avoir de conséquences à l'extérieur de ce dossier.<br>  
*Côté serveur: le serveur sftp est fourni par openssh-server.Pour plus de sécurité, nous le couplerons avec rssh, un shell réduit qui ne permettra aux clients connectés à notre serveur de ne faire que du sftp. De plus, nous allons créer un chroot, une technique qui va "enfermer" les clients dans un répertoire de notre serveur. Aucune de leurs actions ne pourront avoir de conséquences à l'extérieur de ce répertoire.<br>  
*Côté client:Afin d'utiliser un serveur sftp, le client doit avoir un client sftp (sftp en ligne de commande ou filezilla).<br>
*Côté client:Afin d'utiliser un serveur sftp, le client doit avoir un client sftp (sftp en ligne de commande ou filezilla).<br>


Ligne 10 : Ligne 10 :
On va tout simplement les installer avec aptitude, qui s'occupera d'installer les dépendances :  
On va tout simplement les installer avec aptitude, qui s'occupera d'installer les dépendances :  


  #aptitude install openssh-server rssh  
  # aptitude install openssh-server rssh  


=== Configuration du serveur ssh  ===
=== Configuration du serveur ssh  ===
Ligne 74 : Ligne 74 :
= Création du chroot =
= Création du chroot =


Nous allons "chrooter" nos futurs utilisateurs du serveur sftp dans un dossier, nous nous servirons dans notre cas de /home/sftp:<br>  
Nous allons "chrooter" nos futurs utilisateurs du serveur sftp dans un répertoire, nous nous servirons dans notre cas de /home/sftp:<br>  


  #mkdir /home/sftp
  # mkdir /home/sftp


L'intérêt est que ces utilisateurs verront /home/sftp comme racine, et ne pourront agir que dans celui-là (et uniquement avec les commandes fournies par sftp, étant donné qu'on leur donnera comme shell rssh).<br>  
L'intérêt est que ces utilisateurs verront /home/sftp comme racine, et ne pourront agir que dans celui-là (et uniquement avec les commandes fournies par sftp, étant donné qu'on leur donnera comme shell rssh).<br>  
Ligne 84 : Ligne 84 :
Il va donc falloir installer dans le chroot la commande sftp et ses dépendances, ainsi que sftp-server.<br> On va, pour ce faire, utiliser le script copie_binaire :  
Il va donc falloir installer dans le chroot la commande sftp et ses dépendances, ainsi que sftp-server.<br> On va, pour ce faire, utiliser le script copie_binaire :  


#!/bin/bash
<pre>
install -D $1 $2$1
#!/bin/bash
for i in `ldd $1 | grep -o '/[^[:space:]]*'`; do  
install -D $1 $2$1
        if [&nbsp;! -e $2$i ]; then install -D $i $2$i; fi
for i in `ldd $1 | grep -o '/[^[:space:]]*'`; do  
done
      if [ ! -e $2$i ]; then install -D $i $2$i; fi
done
</pre>


Ce script permet de copier un binaire et ses dépendances (et permet d'éviter de tout faire avec ldd et cp "à la main").<br>
Ce script permet de copier un binaire et ses dépendances (et permet d'éviter de tout faire avec ldd et cp "à la main").<br>
Ligne 97 : Ligne 99 :
Copions donc sftp et ses dépendances de la manière suivante :  
Copions donc sftp et ses dépendances de la manière suivante :  


  #./copie_binaire /usr/bin/sftp /home/sftp
  # ./copie_binaire /usr/bin/sftp /home/sftp


Voilà, sftp et ses dépendances sont dans /home/sftp (plus précisément dans /home/sftp/usr et /home/sftp/lib).<br>
Voilà, sftp et ses dépendances sont dans /home/sftp (plus précisément dans /home/sftp/usr et /home/sftp/lib).<br>
Il faut en plus copier libnss-file.so.2 :  
Il faut en plus copier libnss-file.so.2 :  


  #cp /lib/libnss-file.so.2 /home/sftp/lib
  # cp /lib/libnss_files.so.2 /home/sftp/lib
   
   
Excepté si vous êtes sur une lenny/i386 , il faut en plus copier /usr/lib/openssh/sftp-server dans le chroot (a faire donc si vous êtes sur lenny/amd64 ou squeeze):
Excepté si vous êtes sur une lenny/i386 , il faut en plus copier /usr/lib/openssh/sftp-server dans le chroot (a faire donc si vous êtes sur lenny/amd64 ou squeeze):
Ligne 113 : Ligne 115 :
Pour le bon fonctionnement de sftp, il est nécessaire d'avoir un dev/null dans le chroot :  
Pour le bon fonctionnement de sftp, il est nécessaire d'avoir un dev/null dans le chroot :  


  #mknod dev/null c 1 3  chmod 666 dev/null
# cd /home/sftp
# mkdir dev
  # mknod dev/null c 1 3
  # chmod 666 dev/null


* Placer le setuid sur le rssh_chroot_helper
* Placer le setuid sur le rssh_chroot_helper


  #chmod u+s /usr/lib/rssh/rssh_chroot_helper
  # chmod u+s /usr/lib/rssh/rssh_chroot_helper


* Ajouter ligne chrootpath /home/sftp dans rssh.conf
* Ajouter ligne chrootpath /home/sftp dans rssh.conf


  # echo 'chrootpath = "/home/sftp"' &gt;&gt; /etc/rssh.conf
  # echo 'chrootpath = "/home/sftp"' >> /etc/rssh.conf


Bon, le chroot est prêt, ne manquent plus que les clients...
Bon, le chroot est prêt, ne manquent plus que les clients...
Ligne 129 : Ligne 134 :
* créons l'utilisateur machin, futur client de notre serveur (en n'oubliant pas de lui donner comme shell rssh)
* créons l'utilisateur machin, futur client de notre serveur (en n'oubliant pas de lui donner comme shell rssh)


  #adduser machin --shell /usr/bin/rssh
  # adduser machin --shell /usr/bin/rssh


On vous demande un mot de passe pour cet utilisateur, mettez-en un "béton", sinon tout ce qui est fait côté "sécu" ne sert à rien.  
On vous demande un mot de passe pour cet utilisateur, mettez-en un "béton", sinon tout ce qui est fait côté "sécu" ne sert à rien.  
Ligne 135 : Ligne 140 :
* ajoutons cet utilisateur dans le fichier passwd du chroot
* ajoutons cet utilisateur dans le fichier passwd du chroot


  #mkdir /home/sftp/etc
  # mkdir /home/sftp/etc
  #grep '^machin:' /etc/passwd >> /home/sftp/etc/passwd
  # grep '^machin:' /etc/passwd >> /home/sftp/etc/passwd
 
* Déclarons le comme utilisateur autorisé dans /etc/ssh/sshd_config:
#utilisateurs autorisés
  AllowUsers machin


= Tests =
= Tests =
 
Nous voilà presque prêt pour les tests. Il faut juste redémarrer sshd au préalable:
# /etc/init.d/ssh restart
=== en local ===
=== en local ===


Testons tout ça directement sur le serveur :  
Testons tout ça directement sur le serveur :  


$ sftp machin@localhost
--> sur lenny:
 
  $ sftp -oPort=666 machin@localhost
 
--> sur squeeze:
 
  $ sftp -P 666 machin@localhost


Après avoir entré votre mot de passe, si tout va bien, vous devez avoir une invite de commande&nbsp;:  
Après avoir entré votre mot de passe, si tout va bien, vous devez avoir une invite de commande&nbsp;:  
Ligne 152 : Ligne 168 :
=== en réseau ===
=== en réseau ===


  $ sftp machin@IP_de_votre_serveur
--> sur lenny:
  $ sftp -oPort=666 machin@IP_de_votre_serveur
 
--> sur squeeze:
$ sftp -P 666 machin@IP_de_votre_serveur


=== en cas de problèmes ===
=== en cas de problèmes ===
Ligne 167 : Ligne 187 :
  establish a logging socket inside the chroot directory.
  establish a logging socket inside the chroot directory.


d'où, comme le dit man syslogd :


=== syslog ===
Comme le dit man syslogd :
  -a socket: Using this argument you can specify additional sockets from that syslogd has to listen to.
  -a socket: Using this argument you can specify additional sockets from that syslogd has to listen to.
             This is needed if you're going to let some  daemon  run within a chroot() environment.
             This is needed if you're going to let some  daemon  run within a chroot() environment.
Ligne 183 : Ligne 204 :
  LogLevel INFO  
  LogLevel INFO  


et  
(ça nous donnera les logs de sshd concernant les connexions )
et on rajoute -f LOCAL7 -l INFO à la ligne concernant le subsystem:


  Subsystem sftp /usr/lib/openssh/sftp-server -f LOCAL7 -l INFO
  Subsystem sftp /usr/lib/openssh/sftp-server -f LOCAL7 -l INFO
Ligne 192 : Ligne 214 :
  local6.info /var/log/sftp_connexion
  local6.info /var/log/sftp_connexion


Et voilà, vous pouvez consulter les logs de transferts de fichiers dans /var/log/sftp, et les logs de connexions dans /var/log/sftp_connexion.
Puis on redémarre syslogd:
#/etc/init.d/sysklogd restart
 
=== rsyslog ===
C'est la même procédure que pour syslog, mais pas la même syntaxe:
Ajouter $AddUnixListenSocket /home/sftp/dev/log dans /etc/rsyslog.conf (et vérifier que $ModLoad imuxsock est décommenté au début du fichier, sinon, le décommenter).
Redémarrer rsyslog et vérifier qu'il a bien créé /dev/log dans le chroot:
#/etc/init.d/rsyslog restart
# ls -al /home/sftp/dev/log
srw-rw-rw- 1 root root 0  7 sept. 11:34 /home/sftp/dev/log
La suite de la procédure est identique au cas syslog:
Editer /etc/ssh/sshd_config , pour y faire apparaître les lignes
# Logging
SyslogFacility LOCAL6
LogLevel INFO
Rajouter -f LOCAL7 -l INFO à la ligne concernant le subsystem:
Subsystem sftp /usr/lib/openssh/sftp-server -f LOCAL7 -l INFO
 
Redémarrer sshd:
# /etc/init.d/ssh restart
Puis, éditer rsyslog.conf, pour y ajouter les lignes:
local7.info /var/log/sftp
local6.info /var/log/sshd
 
Puis on redémarre rsyslog:
#/etc/init.d/rsyslog restart
 
=== Conclusion ===
Vous pouvez consulter les logs de transferts de fichiers dans /var/log/sftp, et les logs de connexions dans /var/log/sshd.


=Côté client: Filezilla=
=Côté client: Filezilla=
MicP
editor
621

modifications

Récupérée de « https://forum-debian.fr/wiki/Spécial:MobileDiff/2456...7700 »

Menu de navigation