vsftpd - users/groups en directories

[World Citizen]

Ik ben denk ik even de weg kwijt.

Dit is voor mij de eerste linux poging dus ik moet echt nog veel leren:

Ik heb opgezet,
IBM server
CentOS 5.*
Vsftpd
SQL
PhpMyAdmin
Magento

En na een dag of 3 en wat herinstalleren heb ik hier een werkende Magento server staan.

Nu wil ik uiteindelijk dat mijn developers in kunnen loggen over "ftp" en de juiste mappen voorgeschoteld krijgen.

Ftp werkt, en met root (test machine) kan ik via filezille perfect connecten en word ik gejailed naar mijn home folder.

Dat werkt dus allemaal,

Maar nu ben ik toch al 2 uur aan het zoeken hoe ik users en groups kan maken, en die rechten kan geven op dirs die ik zelf kies.

Ik ben zo ver dat ik twijfel of ik Chroot moet gebruiken icm met exeptions waarin ik aangeef dat er nog meer folders zijn dan enkel de home folder, of Chroot uit moet zetten, en elke folder inc de home folder toe moet gaan voegen aan zijn rechten pakket.

Bij voorkeur zou ik een user aanmaken en die middels een config vertellen waar hij allemaal mag komen. Dus standaard helemaal nergens (ook niet in home) , en dan gaan aanvullen met locaties.


Nu, ik heb serieus tientalle handleidingen gelezen, en maar 1 heeft het over dirs toevoegen.. En die volg ik niet helemaal. Iedereen heeft het enkel over de homefolder. Ik las iets over een mount naar gewenste dirs, maar dat vind ik geen wenselijke opzet... Ik wil liever niks mounten/snelkoppelen... Hard aangeven waar hij wel en niet mag zijn is wat ik liever doe.

Kan iemand mij voorzien van een stukje documentatie over hoe:
- Ik een user incl password aanmaak (wat me al wel lukt maar toch)
- Ik een user directory toegang geef.
- Ik aangeef wat hij mag doen in een dir

Er moet toch een config file oid zijn, waar ik in aangeef waar hij mag komen, en wat hij daar mag doen.
Hoe ik verder rechten zet vind ik wel weer uit, maar waar moet ik dit instellen... waar is het user beheer van mijn vsftpd?


Alvast dank!

[GlowMouse]

Heb je al op virtual users gezocht?

[World Citizen]

Nee, dat ga ik nu doen...

Ik kwam ondertussen dit tegen
http://www.noob2geek.com/linux/setup-vsftpd-debian-ubuntu/

[World Citizen]

Oke,

Ik ben verder, ik had het verkeerd in mijn hoofd dat er een losse user moet zijn voor FTP, maar dit loopt gewoon via de standaard user list van de server.

Ik voeg nu een user toe, en heb ik mijn config file aangegeven
Anonymous_enabled=NO

Nu kan hij inderdaad inloggen, en heeft hij toegang tot de /root van server. maar heeft niet overal toegang toe.
Dat moet ik dus nog uitzoeken.
Een onbekende kan niet inloggen...


stap 1 gedaan, nu nog forceren dat hij in een bepaalde folder uitkomt. Heel de Homedir en root moet gewoon nooit zichtbaar zijn voor de user, enkel de Magento dir.

/usr/share/magento

Komt goed

Zou her hier ergens kunnen zitten, maar dan uitkleden zonder het aanmaken van een user?

sudo useradd -d /usr/share/magento -s /usr/sbin/nologin ftpuser

[ Voor 19% gewijzigd door World Citizen op 22-06-2012 11:35 ]

[World Citizen]

Want ik lees eigenlijk overal enkel deze 2 opties:

There are a few options.

Set the user's home directoy to the needed directory (in /etc/passwd) and configure group membership, and configure vsftpd to chroot them into their home folder.

echo chroot_local_user=YES >> /etc/vsftpd/vsftpd.conf
If they actually need local access for some reason, then things get a little more complicated, which brings me to #2.

Lock users to their home folder as in #1, but do not change their home folders in /etc/passwd. Instead add a mount point to the directories they need access to inside the home folder.

mount --bind /tmp/site1 /home/ftp_user/site1
This one requires an extra click by the users, but allows for the home directory to be correctly set.

Additionally, I would run a daily cron job to double check membership and adjust the home folder/mount point in the event that group membership has changed.

Ik zou dan toch voor optie 2 kiezen, maar liever laat ik ze enkel en alleen in /usr/share/magento uitkomen, en helemaal nooit in de Home folder van de user....


Ik zie dit toch echt als workaround.... niet?

[GlowMouse]

World Citizen schreef op vrijdag 22 juni 2012 @ 11:29:
Oke,

Ik ben verder, ik had het verkeerd in mijn hoofd dat er een losse user moet zijn voor FTP, maar dit loopt gewoon via de standaard user list van de server.

Ik kreeg juist het idee dat je dat niet wilde, vandaar de virtual users. Je krijgt nu allemaal users met verschillende userid, en moet dan opletten dat ze wel of niet elkaars files kunnen verwijderen of hernoemen.

[World Citizen]

GlowMouse schreef op vrijdag 22 juni 2012 @ 13:32:
[...]

Ik kreeg juist het idee dat je dat niet wilde, vandaar de virtual users. Je krijgt nu allemaal users met verschillende userid, en moet dan opletten dat ze wel of niet elkaars files kunnen verwijderen of hernoemen.

Nou, dat is ook eigenlijk, maar als ik een user heb die ik uit kan laten komen in de map die ik wil.. en ook ENKEL daar rechten op kan geven... dan moet ik toch niet tegen het probleem lopen dat ze op andere plekken ook kunnnen.. Ze hoeven uiteindelijk maar in 1 hoofd dir en alles daaronder te zijn.. Ze hoeven niet op meer plekken te zijn....(dus niet hoger, enkel lager)
Alles wat onder de hoofd dir valt mogen ze ook allemaal wijzigen...


Virtual user is inderdaad een goede optie... maar ik zie dan toch liever weer 1 type user... Dus de main users van de server wil ik best aanhouden, zolang ze maar nergens bij kunnen.

[ Voor 15% gewijzigd door World Citizen op 22-06-2012 15:30 ]

[World Citizen]

Nou

Het lijken dan toch 3 opties


- Set the user's home directoy to the needed directory (in /etc/passwd)
- Lock users to their home folder and add a mount point to the directories they need access to inside the home folder.
- Virtual users


Wat zouden jullie dan doen.. Ik kan echt niet schatten wat "Best Practice" is....
Het gaat waarschijnlijk over 2 user die beide volledige toegang mogen hebben tot

/usr/share/magento

En alles wat daaronder zit.. Ze hoeven nergens anders bij, dus ook niet de homedir (die ik liever uitsluit)


(toch wel leuk dat linux...)

[OrangeTux]

In mijn geval wilde ik dat lokale users konden inloggen op de ftp en toegang haddden tot /var/www. Daarnaast wilde ik de mogelijkheid bieden dat ze bestanden in hun homedir konden zetten.

code:

chroot_local_user=YES

Deze setting zorgt ervoor dat lokale gebruikers enkel toegang hebben tot hun homedir.

De schrijfrechten van de homedir weggenomen.

code:

chmod a-w /home/user/

Dit is nodig, ivm met security die vsftp eist.

quote: http://imbuzu.wordpress.c...-inside-chroot-on-vsftpd/

This new update, updates vsftpd to 2.3.5, which tries now to be more secure by not allowing login with writable root directory.

Vervolgens heb ik /var/www/ gemount in de homedir
[code]moun --bind /var/www/ /home/user/

en heb ik een map 'ftp' aangemaakt.

code:

mkdir /home/user/ftp

De gebruiker kan nu schrijven in de gemounte map /var/www maar nog niet in de ftp map.
Daarom heb ik de ownership van de ftp-map terug gegeven aan de gebruiken.

code:

chown -Rv user.user /home/user/ftp

Resultaat is dat gebruikers NIET kunnen schrijven in de root van hun homedir, maar wel in de map 'ftp' en in de gedeelde map /var/www.

[ Voor 28% gewijzigd door OrangeTux op 25-06-2012 15:49 ]

[DAzN]

Ondanks dat je vraag specifiek over ftp gaat, en dat ook de richting is waar je 't in zoekt, wil ik je SSH in overweging geven. Mijn ervaring is dat scp veel eenvoudiger in gebruik is, ssh eenvoudiger te configureren en je geen gedoe hebt met chroots en (onveilige) ftp-zaken.