Dotaz: Omezeni pristupu pres SFTP

[lzdych]

Ahoj,

poradi mi nekdo jak zabranit uzivateli prihlasenemu pres SFTP pristup na server mimo jeho home?

Zkousel jsem to pomoci CHROOT a programu jail (http://www.jmcresearch.com/projects/jail/), ale to mi nefungovalo, tak jak bych chtel. Uzivatel nema pristup k cilum symlinku a stejne se dostane ven ze sveho homu .. i kdyz jen v prostredi chroot. Navic jsem se docetl, ze se to da stejne obejit.

Potreboval bych pro uzivatele stejny pristup jako umoznuje klasicky webhosting akorat ze pres sftp.

Lukas.

E-mail: lukas.zdych@gmail.org ICQ: 129860654 Skype: lukaszdych

Odpovědi

[Zdeněk Burda]

nepouzivam SFTP, ale SCP - scponly shell nastaveny pro chroot. Useri jsou uzavreni ve svem $HOME. Provozuji to na webhostingu a nikdo si zatim nestezoval.

[lzdych]

To by nevadilo.. ja osobne taky radsi scp, ale poradis mi (aspon smer..) jak to nastavit?

Lukas.

[jm]

Jako shell pro uzivatele. Co neni jasne?

[lzdych]

Hmm... omluvte mou nechapavost, ale neni mi jasny co mam uzivateli nastavit jako shell.

Pod "jako uzivateli shell" si predstavuju zmenu v /etc/passwd "bin/bash" na "bin/scp".. ale to je blbost ze?

Cekal bych, ze vyrobim nejakou user-kofiguraci treba v ~/.ssh/config ale v manu k ssh jsem nic nenasel.

Takze mi to vlastne neni jasny nic. Myslel jsem, ze nekdo kdo s tim ma zkusennost rekne alespon: Mrkni do man x neco, nebo treba vic.. :o/

Lukas.

[jm]

Ne, to neni blbost. Jako shell je nutne nastavit /usr/bin/scponlyc. Upravit podle cesty, kam to nainstalujete. Mimochodem to je vsechno napsano v dokumentaci.

[lzdych]

Jo diky moc!

Prvni zadrhel byl v tom, ze ja myslel "scp". Uz jsem nasel package "scponly" a doslo mi to.

Pouzivam Debian/Sarge, takze jsem nejdrive hledal package. Ta sice funguje skvele, ale kdyz jsem ji nainstaloval s podporou "chroot".. tak jsem se zasekl a vyrobe chrootu pro uzivatele (je u package navod, ale moc jsem ho nepochopil.. :o))

Tak jsem stahnul tarball, zkompiloval, nainstaloval a tvorbu chrootu jsem resil pomoci prikazu "make jail", jak je popsano v navodu k instalaci (soucasti tarballu).

Tam me jen zarazilo, ze autor pise, ze mam vytvorit uzivatele (adduser) a pak vyrobit chroot pomoci "make jail", ale kdyz to tak udelam, tak "make jail" skonci protoze se mu nelibi, ze uzivatel jiz existuje. Takze uzivatele vytvarim jen pomoci "make jail" - nevyrobi stejnojmenou skupinu (group), ale prida uzivatele do skupiny "users" - coz me ani tak moc nevadi.

Po vyrobe chrootu je pak jen potreba zkopirovat binarku "groups" do "bin" adresare v chrootu uzivatele (je na to upozorneno po vytvoreni chrootu).

Tak a ted to funguje opravdu pekne napriklad s "WinSCP" (ktery uzivatelum poskytuje dostatecny komfort) a to jak pres "scp", tak "sftp", ale preci si na tom jeste neco najdu.. :o))

- uzivatel ma ve svem homu adresare jako "etc", "var", ktere jsou pro nej read-only a jen jeden adresar ma writeable pro upload souboru - chtel bych aby mel pristup jen do toho adresare pro upload (cisty adresar) - ostatni ho nezajima

- no a ta druha vec co mi vadi na chrootu je ze kdyz chci uzivateli do jeho homu neco zpristupnit pomoci symlinku (napr.: logy Apache), tak se k nim nedostane

Zajimalo by me zda jste toto take resili, a pokud ano tak jak? Diky!

Lukas

[jm]

Ad 1/ Nelze. K tem ostatnim adresarum musi mit prava na cteni, jinak se nemuze vubec prihlasit. To je princip fungovani chrootovaneho prostredi. Kdyz si v systemu smazete /etc, tak se taky neprihlasite.

Ad 2/ Taky nelze. Ucel chrootu je v tom, aby se uzivatel jinam nez do sveho home nedostal. Neni mu mozne zpristupnit soubory mimo chroot prostredi. Zato je bez problemu mozne ty logy Apache ukladat do jeho home adresare.

[lzdych]

Hmm.. v tom pripade by me teda zajimalo jak je to delane na webhostingovych serverech..?

[jm]

Co jak je delane?

[Zdeněk Burda]

tam se pouziva FTP ktere ma nastavene chroot nebo treba scponly v chrootu