Sftp mit chroot-jail - Versionsgeschichte

Gehrke: /* SSHD weiter absichern */ interne Verlinkung

2013-11-23T16:12:26Z

‎SSHD weiter absichern: interne Verlinkung

Lotz am 4. Mai 2010 um 18:27 Uhr

2010-05-04T18:27:41Z

Lotz: initial release, ohne Yast-Screenshots

2010-05-04T17:31:05Z

initial release, ohne Yast-Screenshots

Lotz: halbfertiges Release

2010-05-04T09:09:46Z

halbfertiges Release

Neue Seite

{{Box Achtung||
Diese Seite befindet sich gerade im Aufbau!! Solange dieser Warntext sichtbar ist, gilt diese Seite als '''nicht''' verwendbar!}}

Ich habe mich dabei grob an [http://www.debian-administration.org/articles/590 http://www.debian-administration.org/articles/590] gehalten, allerdings ein paar Änderungen vorgenommen.

----
Grobes Ziel: Anlegen eines Verzeichnisses, auf das per SFTP über einen separaten Nutzer zugegriffen werden kann, der keine weiteren Privilegien im System hat.

Benutzername: ''ftpuser''<br>
Benutzergruppe: ''sftponly''<br>
Zielverzeichnis: ''/home/ftpuser''

__TOC__

== Gewünschten User anlegen ==
Um das Ganze übersichtlich zu halten und für die Hauptnutzer einen normalen Zugang per SSH zu ermöglichen legen wir einen separaten Benutzer für den eingeschränkten Zugang per SFTP an.
In diesem Fall der Benutzer ''ftpuser''. Weiterhin wird eine getrennte Benutzergruppe (''sftponly'') angelegt, um später weitere Optionen für den getrennten User setzen zu können.<br>
Das Verzeichnis, welches per SFTP verfügbar sein wird (hier: ''/home/ftpuser'') muss in Eigentümerschaft von Root liegen. Daher hat der Benutzer dort erstmal nur Leserechte. Innerhalb des Verzeichnisses können allerdings weitere Ordner angelegt werden, auf die der Benutzer dann auch Schreibzugriff hat.

=== über Yast ===
[screenshots to come]

=== über Konsole ===
Als Root:
Zielverzeichnis anlegen:
mkdir /home/ftpsite

Separate Gruppe ''sftponly'' anlegen:
groupadd sftponly

Den neuen Benutzer ''ftpuser'' anlegen. Dabei wird als Loginshell ''/bin/false'' benutzt, damit sich der Benutzer lokal nicht auf einer Shell anmelden kann. Das Benutzerverzeichnis ist in dem Fall ''/'', da sshd nach dem chroot-Aufruf in das Benutzerverzeichnis wechselt und das ralative Wurzelverzeichnis dem angelegten Zielverzeichnis entsprechen wird.
useradd -g sftponly -d / -s /bin/false ftpuser

Und nun noch das Passwort festlegen:
passwd ftpuser

== SSHD konfigurieren ==
Nun folgende Änderungen in der ''/etc/ssh/sshd_config'' vornehmen (vorhandene Variablen ändern, nicht vorhandene hinzufügen):
Subsystem sftp internal-sftp
Match group sftponly
ChrootDirectory /home/%u
X11Forwarding no
AllowTcpForwarding no
ForceCommand internal-sftp

@@ Zeile 60: / Zeile 60: @@
 == SSHD weiter absichern ==
-z.B. mittels fail2ban oder iptables<br>
+z.B. mittels fail2ban oder [[iptables]]<br>
 Siehe dazu [[Wie_sichere_ich_meinen_ssh_Server]]

← Nächstältere Version		Version vom 4. Mai 2010, 18:27 Uhr
Zeile 1:		Zeile 1:
−	Grobes Ziel: Anlegen eines Verzeichnisses, auf das per SFTP über einen separaten Nutzer zugegriffen werden kann, der keine weiteren Privilegien im System hat.	+	Grobes Ziel: Anlegen eines Verzeichnisses, auf das per SFTP über einen separaten Nutzer zugegriffen werden kann, der keine weiteren Privilegien im System hat.<br>
		+	Hilfreich, wenn die Verwendung von [[Vsftpd]] oder [http://www.proftpd.de/FAQ.15.0.html ProFTPD] am Weiterleiten der passiven Ports am Router scheitert und man trotzdem eine verschlüsselte Verbindung nutzen möchte.

	Benutzername: ''ftpuser''<br>		Benutzername: ''ftpuser''<br>

@@ Zeile 1: / Zeile 1: @@
 Grobes Ziel: Anlegen eines Verzeichnisses, auf das per SFTP über einen separaten Nutzer zugegriffen werden kann, der keine weiteren Privilegien im System hat.
@@ Zeile 12: / Zeile 4: @@
 Benutzergruppe: ''sftponly''<br>
 Zielverzeichnis: ''/home/ftpuser''
 __TOC__
@@ Zeile 26: / Zeile 20: @@
 Als Root:
 Zielverzeichnis anlegen:
-  mkdir /home/ftpsite
+  mkdir /home/ftpuser
 Separate Gruppe ''sftponly'' anlegen:
@@ Zeile 36: / Zeile 30: @@
 Und nun noch das Passwort festlegen:
   passwd ftpuser
 == SSHD konfigurieren ==
-Nun folgende Änderungen in der ''/etc/ssh/sshd_config'' vornehmen (vorhandene Variablen ändern, nicht vorhandene hinzufügen):
+Nun folgende Änderungen in der ''/etc/ssh/sshd_config'' vornehmen (bezieht sich auf eine zuvor unveränderte Konfiguration. Vorhandene Variablen ändern, nicht vorhandene hinzufügen):
   Subsystem sftp internal-sftp
   Match group sftponly
           ChrootDirectory /home/%u
@@ Zeile 46: / Zeile 52: @@
           AllowTcpForwarding no
           ForceCommand internal-sftp