[Ubuntu server 11.10] SFTP + Cifs security

[Craven]

Ik heb thuis een Windows Server 2008R2 bak staan als thuisservertje. Hierop draai ik Hyper-V om af en toe wat dingetjes te testen met linux en/of andere OS'en. Ik heb momenteel hierop een openssh server draaien t.b.v. tunneling naar mijn interne netwerk.

Hierbij wil ik nu ook remote file access (secure) werkend hebben. Al mijn bestanden staan op de host op een aantal shares. Voor mijzelf zal dit niet zo'n probleem zijn. Network shares mounten moet opzich te doen zijn. Ik ben geen linux expert maar via deze tutorial en wat tijd moet ik er wel komen.

Hiernaast moet mijn vriendin moet regelmatig een grote hoeveelheid bestanden beschikbaar maken voor andere personen. Nu wil ik dit via mijn server regelen. Maar dit moet natuurlijk wel netjes, enigzins gebruiksvriendelijk en idiot-proof gebouwd worden.
Even ervan uitgaan dat de gebruiker gewoon kan omgaan met filezilla en verbinding kan maken met de server komt de gebruiker gewoon uit in zijn home folder. In die home folder kan ik dan met bovenstaande tutorial een mapping maken naar mijn windows bak. Dat heeft mijns inziens 3 grote flaws:
- Gebruiker kan gewoon rondkijken in het hele filesystem
- Gebruiker ziet er aantal hidden files in de homedir (en kan die ook aanpassen)
- Gebruiker heeft naast sftp ook direct shell acces

Nu kunnen het eerste en laatste probleem volgens mij opgelost worden d.m.v. een jail/ chroot. Klopt mijn gedachte? Voor de tweede heb ik totaal geen oplossing en kan ik ook met google niet echt iets vinden. Ik kan de hidden files niet nog meer hidden maken zeg maar... Heeft iemand hier nog een aanpak voor?

[DAzN]

Ik heb een paar jaar geleden wat geëxperimenteerd met Webdav en dat beviel me eigenlijk best goed. Toen kwamen er alternatieven (Dropbox bijvoorbeeld) en heb ik er geen aandacht meer aan besteed.

Voordeel is dat het werkt als module van Apache, dus je kunt het zo dichtzetten als je wilt. In combinatie met een SSL-certificaat zorg je er ook nog eens voor dat een en ander versleuteld over de lijn gaat.

http://httpd.apache.org/docs/2.0/mod/mod_dav.html

[d1ng]

Als je bestanden op de host staan, zou je net zo goed ssh op de host kunnen draaien. Via winsshd bijvoorbeeld. Of is dat geen optie ?

[Craven]

Webdav ga ik nog even bekijken thanks.

Daar heb ik nogal wat redenen voor. Ik wil graag dat het gratis blijft (hobbyproject + student). winsshd gaat hem dus al niet worden. Ik draai nu freesshd maar na lang gepruts draait dat nog steeds niet lekker met het tunnelen van http verkeer (ik gebruik hem ook om te tunnelen). Daar waar het me een flink aantal uren heeft gekost om functionaliteit in freesshd aan de gang te krijgen heb ik het nu met opensshd met een praktisch default config kunnen fixen. En last but not least, het is ook een linux leerproject voor mij. Ik moet nodig meer ervaring daarmee krijgen en dit is een zeer mooie start. Plan voor op de lange termijn is om steeds meer functies naar de virtual machine te verplaatsen.

[d1ng]

Ter info:
When the personal edition is chosen during installation, WinSSHD can be used free of charge by non-commercial personal users.

- Gebruiker kan gewoon rondkijken in het hele filesystem
- Gebruiker ziet er aantal hidden files in de homedir (en kan die ook aanpassen)
- Gebruiker heeft naast sftp ook direct shell acces

Nu kunnen het eerste en laatste probleem volgens mij opgelost worden d.m.v. een jail/ chroot. Klopt mijn gedachte? Voor de tweede heb ik totaal geen oplossing en kan ik ook met google niet echt iets vinden. Ik kan de hidden files niet nog meer hidden maken zeg maar... Heeft iemand hier nog een aanpak voor?

Het eerste kun je inderdaad oplossen door sftp in chroot te draaien, je kan even in de geschiedenis zoeken hier op tweakers zelf. Er is een keer een uitgebreide howto over verschenen.

Shell access kun je eventueel restricten door rssh te installeren, afhankelijk van je distro zit hij gewoon in de repositories. Daarna kun je de shell van je sftp users instellen op rssh zodat ze alleen maar kunnen sftp-en.

[DeBolle]

Dat lijkt mij de aangewezen weg, chroot jail voor sftp gebruikers. Standaard snel op te zetten met OpenSSH. Op dezelfde VM kun je dan met Samba authenticeren tegen jouw AD en op de Windows server (lokale) AD gebruikers toegang geven tot de filesystems op de Linux VM.
Op die manier houdt je de gebruikers centraal in de AD en hoeven er geen (afwijkende) gebruikers op de VM worden aangemaakt.

[CAPSLOCK2000]

Voor een enigzins vergelijkbaar project overweeg ik ftps te gebruiken. FTP is natuurlijk een doodzonde, maar als je server maar afdwingt dat het SSL moet zijn kan het best werken.

[Craven]

d1ng schreef op dinsdag 03 april 2012 @ 18:53:
Ter info:
When the personal edition is chosen during installation, WinSSHD can be used free of charge by non-commercial personal users.


[...]

Het eerste kun je inderdaad oplossen door sftp in chroot te draaien, je kan even in de geschiedenis zoeken hier op tweakers zelf. Er is een keer een uitgebreide howto over verschenen.

Shell access kun je eventueel restricten door rssh te installeren, afhankelijk van je distro zit hij gewoon in de repositories. Daarna kun je de shell van je sftp users instellen op rssh zodat ze alleen maar kunnen sftp-en.

Die had ik over het hoofd gezien

Dan ga ik maar is even aan de gang met chroot en rssh.

DeBolle schreef op dinsdag 03 april 2012 @ 18:55:
Dat lijkt mij de aangewezen weg, chroot jail voor sftp gebruikers. Standaard snel op te zetten met OpenSSH. Op dezelfde VM kun je dan met Samba authenticeren tegen jouw AD en op de Windows server (lokale) AD gebruikers toegang geven tot de filesystems op de Linux VM.
Op die manier houdt je de gebruikers centraal in de AD en hoeven er geen (afwijkende) gebruikers op de VM worden aangemaakt.

AD heb ik niet, gaat om een stand alone installatie. Maar wat bedoel je hiermee precies? Mijn ubuntu bak/openssh lult tegen windows aan over logins e.d? Met andere woorden de users uit de windows bak kunnen inloggen op de linux bak met ssh? Zonder extra users aan te maken. Dat zou wel mooi zijn.

CAPSLOCK2000 schreef op dinsdag 03 april 2012 @ 18:59:
Voor een enigzins vergelijkbaar project overweeg ik ftps te gebruiken. FTP is natuurlijk een doodzonde, maar als je server maar afdwingt dat het SSL moet zijn kan het best werken.

Ftp weiger ik gewoon te gebruiken. Uit principe. Ik zie er eerlijk gezegd praktisch geen voordelen in. Het gebruikt 2 verschillende poorten voor data en commando's en dan ook nog is wat passive poorten. Dan moet je nog van alles instellen i.c.m. NAT (indien van toepassing) en het feest is compleet. Nee dank je, geen ftp meer voor mij.

Dat het nog enigzins secure word door het gebruik van ftps is leuk. Maar het is in de basis gewoon een prehistorisch protocol.