🚀 go-pugleaf

Tomasz Pabich wyskrobał:
> Jak zrealizować dostęp przez scp, by userzy mieli dostęp jedynie do 
> swojego katalogu domowego i współdzielonego katalogu z danymi ????
>
> /home/user1
> /home/user2
> /home/user3
> /home/user4
>
> /mnt/jakiesdane katalog współdzielony
>
> Userzy muszą mieć dąstęp jedynie scp bez shella i nie mogą wyjść poza te 
> dwa katalogi.

najnowszy OpenSSH wspiera chrootowane srodowisko 

-- 
"People who claim they don't let little things bother them have never
slept in a room with a single mosquito."

On Tue, 18 Nov 2008 12:00:55 +0000 (UTC), Rafał Banaszkiewicz
<rafal@> wrote:

>> Userzy muszą mieć dąstęp jedynie scp bez shella i nie mogą wyjść poza te 
>> dwa katalogi.
>
> najnowszy OpenSSH wspiera chrootowane srodowisko 

 Ale:
 
 1) zamknięcie użytkownika w /home/user z jednoczesnym
 przydzieleniem dostępu do /mnt/cośtam będzie wymagało też
 sztuczek poza OpenSSH (np. mount_nullfs).

 2) scp w takim chroocie będzie wymagało kopiowania binarek i
 bibliotek, chyba żeby zmienić założenia i dopuścić wyłącznie
 sftp.

 r.
-- 
_________________________________________________________________
robert rędziak                     mailto:giekao-at-gmail-dot-com
zmien kreseczkę na kropeczkę:              http://forum-subaru.pl
   I hope they don't fart at Greenpeace. That's bad for Gaia.

On 18.11.2008, Robert Rêdziak <rekin@gm.wkurw.org> wrote:
> On Tue, 18 Nov 2008 12:00:55 +0000 (UTC), Rafa³ Banaszkiewicz
><rafal@> wrote:
>
>>> Userzy musz± mieæ d±stêp jedynie scp bez shella i nie mog± wyj¶æ poza te 
>>> dwa katalogi.
>>
>> najnowszy OpenSSH wspiera chrootowane srodowisko 
>
>  Ale:
>  
>  1) zamkniêcie u¿ytkownika w /home/user z jednoczesnym
>  przydzieleniem dostêpu do /mnt/co¶tam bêdzie wymaga³o te¿
>  sztuczek poza OpenSSH (np. mount_nullfs).

Tego raczej nie unikniesz.

>  2) scp w takim chroocie bêdzie wymaga³o kopiowania binarek i
>  bibliotek, chyba ¿eby zmieniæ za³o¿enia i dopu¶ciæ wy³±cznie
>  sftp.

Mo¿esz u¿yæ scponly. Wtedy jednak bêdziesz mia³ jednego chroota dla
wszystkich userów. Wewn±trz bêdziesz móg³ poustawiaæ odpowiednio prawa,
by ograniczyæ dostêp per user.


-- 
Pozdrawiam,
Dominik ¯y³a

Tomasz Pabich napisał(a):
> Jak zrealizować dostęp przez scp, by userzy mieli dostęp jedynie do 
> swojego katalogu domowego i współdzielonego katalogu z danymi ????

Tomku, jeśli potrzebujesz tego do bezpiecznego transferu plików, to
znacznie lepszym rozwiązaniem jest danie ludziom dostępu FTP przez
TLS. Zapewniasz sobie wtedy bezpieczeństwo sesji, a korzystasz ze
wszyskich dobrodziejstw FTP, takich jak choćby wznawianie transferu.
Konfiguracja chrootowanego środowiska dla serwerów FTP też jest
łatwiejsza (przynajmniej jak do tej pory) i praktycznie każdy znany
serwer ma to wbudowane (np. proftpd, vsftpd).

Gorzej, jeśli ci zależy na autoryzacji kluczami RSA/DSA. Wtedy
zastanowiłbym się nad wpuszczaniem użytkowników do osobnych jaili.

Elb

-- 
- No wiesz, pijany i o trzeciej nad ranem wracasz do domu!?
- A kto powiedział, że wracam? Po gitarę tylko przyszedłem.
===========================================================
FAQ  pl.rec.muzyka.gitara:          http://faq.prmg.art.pl/

Robert Rędziak wyskrobał:
> On Tue, 18 Nov 2008 12:00:55 +0000 (UTC), Rafał Banaszkiewicz
><rafal@> wrote:
>
>>> Userzy muszą mieć dąstęp jedynie scp bez shella i nie mogą wyjść poza te 
>>> dwa katalogi.
>>
>> najnowszy OpenSSH wspiera chrootowane srodowisko 
>
>  Ale:
>  
>  1) zamknięcie użytkownika w /home/user z jednoczesnym
>  przydzieleniem dostępu do /mnt/cośtam będzie wymagało też
>  sztuczek poza OpenSSH (np. mount_nullfs).
>
>  2) scp w takim chroocie będzie wymagało kopiowania binarek i
>  bibliotek, chyba żeby zmienić założenia i dopuścić wyłącznie
>  sftp.
>
>  r.

Odpalalem toto na najnowszym Solku 10 (U5) na sparcowej architekturze z
paczek z sunfreeware, działało bezboleśnie bez większego kombinowania.
Oczywiście sftp only.

-- 
"People who claim they don't let little things bother them have never
slept in a room with a single mosquito."

Paweł Kania pisze:
> Tomasz Pabich napisał(a):
>> Jak zrealizować dostęp przez scp, by userzy mieli dostęp jedynie do 
>> swojego katalogu domowego i współdzielonego katalogu z danymi ????
> 
> Tomku, jeśli potrzebujesz tego do bezpiecznego transferu plików, to
> znacznie lepszym rozwiązaniem jest danie ludziom dostępu FTP przez
> TLS. Zapewniasz sobie wtedy bezpieczeństwo sesji, a korzystasz ze
> wszyskich dobrodziejstw FTP, takich jak choćby wznawianie transferu.
> Konfiguracja chrootowanego środowiska dla serwerów FTP też jest
> łatwiejsza (przynajmniej jak do tej pory) i praktycznie każdy znany
> serwer ma to wbudowane (np. proftpd, vsftpd).
> 
> Gorzej, jeśli ci zależy na autoryzacji kluczami RSA/DSA. Wtedy
> zastanowiłbym się nad wpuszczaniem użytkowników do osobnych jaili.
> 
> Elb
> 
Głównym założeniem tego rozwiązania jest to by użytkownicy (ew. intruz), 
nie wypełzł gdzieś poza katalog do którego ma dostęp, prawdę mówiąc, 
można by nawet uprościć do dostępu userów do jednego wspólnego katalogu, 
do którego niekoniecznie muszą mieć prawo pisać, może być read only. 
Lecz zasób ten dotępny jest rónież lokalnie przez demona samby z 
uwierzytelnianiem na poziomie usera nie zasobu.


Tomek.

ps. W sumie udało mi się odpalić rssh, ale może ktoś zna, prostsze, 
łatwiejsze w zarządzaniu i konfiguracji, rozwiązanie ??

On 19 Nov 2008 08:56:46 GMT, Paweł Kania <elb@sgh.waw.pl> wrote:

> Konfiguracja chrootowanego środowiska dla serwerów FTP też jest
> łatwiejsza (przynajmniej jak do tej pory) i praktycznie każdy znany
> serwer ma to wbudowane (np. proftpd, vsftpd).

 Konfiguracja sftp-only w OpenSSH 4.8+ jest prostsza od wysikania
 dziurki w śniegu:

 --8<--

 Subsystem sftp internal-sftp

 Match user <user>
         ForceCommand internal-sftp
         ChrootDirectory /home/%u

 --8<--

 więcej:
 http://undeadly.org/cgi?action=article&sid=20080220110039

 r.
-- 
_________________________________________________________________
robert rędziak                     mailto:giekao-at-gmail-dot-com
zmien kreseczkę na kropeczkę:              http://forum-subaru.pl
   I hope they don't fart at Greenpeace. That's bad for Gaia.

Robert Rędziak napisał(a):
> Konfiguracja sftp-only w OpenSSH 4.8+ jest prostsza od wysikania
> dziurki w śniegu:

Jest tylko jeden problem:

     ChrootDirectory
             Specifies a path to chroot(2) to after authentication.
             This path, and all its components, must be root-owned
             directories that are not writable by any other user
             or group.

Czasem przeszkadzać może również to:

             The ChrootDirectory must contain the necessary files
             and directories to support the users' session.

No a poza tym to mogę ChrootDirectory w OpenSSH skwitować tylko
jednym: nareszcie.

Elb

-- 
- No wiesz, pijany i o trzeciej nad ranem wracasz do domu!?
- A kto powiedział, że wracam? Po gitarę tylko przyszedłem.
===========================================================
FAQ  pl.rec.muzyka.gitara:          http://faq.prmg.art.pl/

A jak zaimplementować chroot w openSSH ??
Tomek.

On 19.11.2008, Tomasz Pabich <sq7iqi@gmail.com.nospam> wrote:
> A jak zaimplementowaæ chroot w openSSH ??

ChrootDirectory?

-- 
Pozdrawiam,
Dominik ¯y³a

On 19 Nov 2008 14:45:36 GMT, Paweł Kania <elb@sgh.waw.pl> wrote:

> Czasem przeszkadzać może również to:
>
>              The ChrootDirectory must contain the necessary files
>              and directories to support the users' session.

 Przecie po to jest internal-sftp.

 r.
-- 
_________________________________________________________________
robert rędziak                     mailto:giekao-at-gmail-dot-com
zmien kreseczkę na kropeczkę:              http://forum-subaru.pl
   I hope they don't fart at Greenpeace. That's bad for Gaia.

Robert Rędziak napisał(a):
>  Przecie po to jest internal-sftp.

Przepraszam Robert, że tak drążę temat, ale scp/sftp będzie naprawdę
na drugim miejscu dopóty, dopóki nie będzie do tego protokołu dobrych
klientów oraz obsługi resume.

Elb

-- 
- No wiesz, pijany i o trzeciej nad ranem wracasz do domu!?
- A kto powiedział, że wracam? Po gitarę tylko przyszedłem.
===========================================================
FAQ  pl.rec.muzyka.gitara:          http://faq.prmg.art.pl/

Czy da się w RSSH ustawić powitanie ?? tak by użytkownik logujący 
dostawał ostrzeżenie/wiadomość ??

On Fri, 21 Nov 2008 15:15:56 +0100, Tomasz Pabich
<sq7iqi@gmail.com.nospam> wrote:
> Czy da się w RSSH ustawić powitanie ?? tak by użytkownik logujący 
> dostawał ostrzeżenie/wiadomość ??

 Banner w OpenSSH nie wystarczy?

 Pozdrawiam, r.
-- 
_________________________________________________________________
robert rędziak                     mailto:giekao-at-gmail-dot-com
zmien kreseczkę na kropeczkę:              http://forum-subaru.pl
   I hope they don't fart at Greenpeace. That's bad for Gaia.