OpenSSH SFTP server

[Verwijderd]

Hoi

Wij hebben momenteel een SFTP server draaien die niet meer stabiel genoeg is, ondanks het lage aantal gebruikers en gebruikerssessies. Er worden amper een handvol aantal kleine bestanden van de 25tal gebruikers geupload per maand.

Ik ben nu aan het kijken om deze te migreren naar een Debian server die gebruik maakt van OpenSSH en zijn ingebouwde SFTP systeem. Ik maak hierbij ook gebruik van chroot.

Dit is wat er nodig is:
- Users mogen enkel hun home dir zien, en liefst wordt deze weergegeven als de root dir (basis chroot functionaliteit)
- 1 user moet toegang hebben tot alle andere users hun homedirs, deze user haalt de geuploade bestanden op 1x per maand
- ik had voorlopig root logins gedisabled, maar misschien is het handig dat we deze op een of andere manier toch open stellen, maar dan enkel vanuit ons intern netwerk. we hebben fysieke toegang tot de server, maar zaken kunnen doen vanop afstand is altijd een plus

Dat is zowat alles waar ik nu aan denk. Momenteel heb ik de chroot al werkend gekregen, probleem hierbij is dat de users in hun homedir (wat voor hun de "root" lijkt, / dus) niet kunnen schrijven. Ik moet daarom een map aanmaken binnen de homedir, en de owner daarvan veranderen naar de user in kwestie. Ik had dit graag anders gezien zodat ze rechtstreeks in de homedir kunnen schrijven.

Verder zoek ik een heel simpele tool om via commandline/scripts mail te versturen via onze exchange smtp. Hiervoor zijn suggesties voldoende, ik zoek dan zelf wel uit hoe ze werken.

[BarthezZ]

Op welke manier heb je chroot nu werkend gekregen en heb je al geprobeerd te debuggen om te zien waarom ze niet kunnen schrijven in de homedir? (Onder welke user wordt het sftp proces gespawned, wat zijn de zichtbare permissies op de mappen, etc?)

Het CLI tooltje sendmail is prima te gebruiken voor het versturen van mail, hiervoor moet volgens mij op de server zelf wel ook een smtp server ingesteld zijn die alles dan zou relayen via je exchange server (in debian met postfix een fluitje van een cent om in te stellen), maar als je even zoekt zullen er genoeg alternatieven zijn zoals gewoon het commando mail:

echo "test mail" | mail -s test [e-mail]

[swbr]

De veiligste manier om root via ssh open te stellen is volgens mij nog altijd door alleen root authenticatie via een key toe te staan, en dan vooral niet te vergeten een passphrase op die key te zetten.

[Arnout]

Of vanuit een normale user op het root account inloggen met su.

[Verwijderd]

BarthezZ schreef op donderdag 06 mei 2010 @ 12:51:
Op welke manier heb je chroot nu werkend gekregen en heb je al geprobeerd te debuggen om te zien waarom ze niet kunnen schrijven in de homedir? (Onder welke user wordt het sftp proces gespawned, wat zijn de zichtbare permissies op de mappen, etc?)

Het CLI tooltje sendmail is prima te gebruiken voor het versturen van mail, hiervoor moet volgens mij op de server zelf wel ook een smtp server ingesteld zijn die alles dan zou relayen via je exchange server (in debian met postfix een fluitje van een cent om in te stellen), maar als je even zoekt zullen er genoeg alternatieven zijn zoals gewoon het commando mail:

echo "test mail" | mail -s test [e-mail]

Sinds versie 4.9 is chroot gewoon supported door OpenSSH in de matchcase door "ChrootDirectory" te definieren, en dit is dan ook hoe ik het nu heb toegepast. Voor zover ik weet is het "normaal", want in de man file staat er iets over het feit dat enkel en alleen root de owner mag zijn van de chrootdir, en niemand anders mag rechten erop hebben. Vervolgens moet de dir BINNENIN de chrootdir ge-chown'ed worden door de desbetreffende user.

via het mail commando mail versturen lukte niet, dacht eerst dat hij zou tegengehouden worden door de spamfilter maar dit is niet het geval... ga misschien eens zoeken in exchange zelf dat hij daar niet ergens wordt gestopt.

[Kees]

Ik heb hier ook een paar 'chrooted' users draaien, en inderdaad, de chrootdir moet van root zijn. Wat ik niet heb getest is of de chrootdir ook van de group 'root' moet zijn. Anders zou je het op kunnen lossen met een dir die van root is + groep 'sftponly' (oid) met als rechten 775. Als dat kan, heb je ook meteen je 'backupuser' opgelost, want zijn chroot zet je dan gewoon een directory lager.

Als dat niet mogelijk is, dan is zul je inderdaad een directory binnen de chroot aan moeten maken.

Over mailen. Het makkelijkste is om exim (default bij debian) te laten mailen naar een smarthost, dat kun je volgens mij het makkelijkste instellen met dpgk-reconfigure exim4 waarbij je dan een relay en/of smarthost opgeeft (exacte exim-terminologie even vergeten).

Verder kun je in /var/log/mail.* kijken waarom je mail niet aankomt (het kan zijn dat het op de debian server al mis gaat).

[Sir Isaac]

Nog een tip: met rssh kun je de toegang van je gebruikers beperken tot scp en sftp. Ze kunnen dan niet inloggen. Werkt simpel: maak rssh de shell voor je users en zet scp en sftp aan in /etc/rssh.conf.

[_eXistenZ_]

Of in /etc/passwd gewoon /sbin/nologin als shell zetten

[CyBeR]

Kees schreef op donderdag 06 mei 2010 @ 13:57:

Als dat niet mogelijk is, dan is zul je inderdaad een directory binnen de chroot aan moeten maken.

Of ACL's gebruiken.

[Verwijderd]

Kees: het lijkt erop dat zodra je 775 gaat gebruiken, je zelfs niet meer kan inloggen met de gebruiker. Is een soort beveiliging voor zover ik weet...

[Sir Isaac]

_eXistenZ_ schreef op donderdag 06 mei 2010 @ 23:31:
Of in /etc/passwd gewoon /sbin/nologin als shell zetten

Dan kun je sftp en scp ook niet meer gebruiken. Daarvoor heb je namelijk een shell nodig die aan de serverkant wat commando's uitvoert.

[Verwijderd]

Denk dat ik dat al getest heb met /sbin/false of iets dergelijks en dat werkte nog wel geloof ik. staat momenteel niet meer zo en ga daar ook niet mee beginnen, ik wil het eerst anders proberen oplossen

[Verwijderd]

bumpje