vsftp gebruikt ldap-groepen niet

[MWP]

Ik heb een openldap-server met posixAccounts en posixGroups. Op een andere server draait vsftp die d.m.v. /etc/pam.d/vsftp en /etc/pam_ldap.conf e.t.c. verbonden is met deze ldap-server. (Beide Debian 6)

Wanneer een ldap-user inlogt (Gebruiker1) komt hij in een standaard homedirectory (/home/gedeelde_bestanden) voor alle ldap-gebruikers.

In deze map staan een aantal submappen, die allemaal de volgende rechten hebben:

code:

rwxrwx--- MAP1, owner:www-data, group: GROEP1

(e.g. de map "MAP1" heeft een bijbehorende groep "GROEP1", dit telt zo ook voor andere mappen).

Gebruiker1 kan via vsftp keurig inloggen (via de ldap-server dus), maar zodra hij de map "MAP1" wil openen, krijgt hij de foutmelding "Failed to change directory". Dit gebeurd als de gebruiker in de groep zit, maar ook als de gebruiker niet in de groep zit.
Het gekke is dat dit niet gebeurd wanneer ik dit via de shell doe, als de gebruiker in de juiste groep zit kan hij via de shell wel de map openen.

Verander ik de groep van MAP1 naar 100:Users dan kan de gebruiker 'm wel openen via vsftp.

Mijn vermoeden is daarom dat vsftp op een of andere manier de LDAP-groepen niet goed uit kan lezen. Via de shell gaat het namelijk wel goed en "getent group" en "getent passwd" geven ook geen rare resultaten.

Ik vermoed dat er ergens in een van de pam-bestanden iets fout staat, maar ik heb deze nergens op een fout kunnen betrappen. Ook de pam_ldap.conf lijkt in orde: tenslotte kan ik via de shell wel ldap-groepen weergeven.

Enig idee op welk gebied ik een fout maak c.q. in welk configuratiebestand er een verwijzing ontbreekt of fout is ingesteld ?

[Joseph]

Mijn vermoeden is dat de logs meer duidelijkheid en feiten aangeven. Ik zou die dan ook wel even willen zien.

[Rainmaker]

Ik weet m even niet zeker, maar volgens mij heeft vsftpd zn eigen pam.d file.

Check even of hierin een wel een call naar pam_ldap wordt gedaan (of een include op een file die dat wel heeft)

[MWP]

Heb je enig idee waar ik uitgebreidere log-entries kan terugvinden? Als ik in /var/log/vsftpd.log kijk, zie ik alleen de volgende relevante regels:

code:

Sun Sep  4 00:35:33 2011 [pid 3] [user1] FTP response: Client "IP", "226 Directory send OK."
Sun Sep  4 00:35:34 2011 [pid 3] [user1] FTP command: Client "IP", "CWD MAP1"
Sun Sep  4 00:35:34 2011 [pid 3] [user1] FTP response: Client "IP", "550 Failed to change directory."

Andere logbestanden, zoals syslog en debug, krijgen überhaupt geen nieuwe informatie bij zo'n mislukte cwd.

[MWP]

Rainmaker schreef op zondag 04 september 2011 @ 00:35:
Ik weet m even niet zeker, maar volgens mij heeft vsftpd zn eigen pam.d file.

Check even of hierin een wel een call naar pam_ldap wordt gedaan (of een include op een file die dat wel heeft)

Klopt, en in dat bestand staat de volgende regel:

code:

auth       sufficient   pam_ldap.so

Het gekke is ook dat ik dus wel met een ldap-gebruiker kan inloggen, maar dat vsftp niets met de ldap-groepen doet.

[Joseph]

Verbose logging aanzetten. Voeg deze regel eens toe aan je config file:

code:

log_ftp_protocol=YES

Wel de service herstarten natuurlijk! Morgen kijk ik hier wel even verder naar.

[MWP]

Joseph schreef op zondag 04 september 2011 @ 00:48:
Verbose logging aanzetten. Voeg deze regel eens toe aan je config file:

code:

log_ftp_protocol=YES

Wel de service herstarten natuurlijk! Morgen kijk ik hier wel even verder naar.

Die regel staat er helaas al in Die regels in mijn vorige post krijg je ook alleen maar als dat aan staat. Een nadere omschrijving waarom hij niet naar die map wil gaan ontbreekt.

[Rainmaker]

Een auth regel doet niets met groepen. Dat moet via een account regel.

[MWP]

Rainmaker schreef op maandag 05 september 2011 @ 10:53:
Een auth regel doet niets met groepen. Dat moet via een account regel.

Jemig, dat ik dat niet zelf had bedacht. Dank je wel!