| Mise en place d'un partage sécuriser et chrooter |
Inscrit le : inconnu
Messages : inconnu
Point(s) : 0
Localisation :
|
 Posté le 05/06/2014 à 13:59:01
|
Citer
|
|
Bonjour,
Je suis face à un problème pour la mise en place de mon projet (voir profil).
Sur mon serveur LAMP, les utilisateurs doivent pouvoirs se connecter
dans un répertoire de partage respectif à chacun d'eux et y être
chrooter. Dans ce répertoire il doivent pouvoir télécharger et envoyer
des données.
Et la partie qui me complique la vie...
Chaque utilisateur a un site web d'où ils peuvent exporter des données dans leurs dossiers de partage sur demande.
Donc les dossiers de partages doivent être accessibles en
lecture/écriture aux utilisateurs et à l'utilisateur apache2 (www-data)
mais chrooter pour que l'utilisateur qui se connecte via filezilla par
exemple ne sorte pas de ce répertoire.
Est-ce possible de réaliser cela en SFTP (sachant que je n'ai rien trouvé de convaincant)?
Dois-je passer à une solution FTPS (perso, je penche pour VsFTPD mais je
prend en compte d'autres avis)? Et dans ce cas, créer mon propre
certificat ou en acheter un, sachant que mon entreprise sera
certainement rétrécissante face au prix de ces certificat?
OS: Debian 7 Wheezy
Serveur LAMP+Phpmyadmin+Webmin
Tekkharibo m'a conseillé la chose suivante:
| Citation: | /etc/passwd:
monuserftp :son uid:gid des utilisateur chroot::/mon/path/a/son/repertoire/:/bin/bash
(le c'est pour eviter le )
ensuite tu te creer un group qui sera dedier au chroot
dans le fichier de config de pure-ftpd tu defini ton group qui sera chroot
et voila tu es chroot en mode ftp
apres tu ne le sera pas en mode ssh cependant tu peux remplacer le
/bin/bash par /bin/false dans ton passwd (a verifier que ca marche
encore avec ftp et pas sur compatible sftp) |
Par contre j'arrive pas a savoir ce qu'il y a à la place des smileys...
Et merci à Noxius qui m'a indiqué de poster sur le fofo plutot que d'envoyer XXX messages. ;)
|
Dernière édition le 06/06/2014 à 09:08:01
|
|
|
|
Inscrit le : 29/10/2013
Messages : 240
Point(s) : 3987
Distribution : Debian ArchLinux Localisation : Albi, Tarn, France
|
Posté le 05/06/2014 à 14:00:41
|
Citer
|
|
c'est ": x" mais sans le " " entre le : et le x, je pensais que ;e echaperais les smiley
|
_________________
HP EliteBook 8560p i7 2.8Ghz Ubuntu 20.04
RPi 4 2Go raspbian Domoticz
RPi 2 Octopi et Anet A8
Souris: RAT 7
Clavier: KBTalking Pure PRO 60% Black/Green
Mon Twitter
Mon hébergeur : PlanetHoster
Tu es nouveau et tu n'as pas encore fait ta présentation, va la faire on aime bien savoir des choses sur toi comme ou tu viens pourquoi tu es venu sur PL et sur Linux bien sur ;)
Pas de support par MP
Il me manque des accents quand je te réponds ? C'est juste que je suis en QWERTY et que je suis pas passé en US international #flemme
 |
|
|
|
Inscrit le : inconnu
Messages : inconnu
Point(s) : 0
Distribution : Debian ArchLinux Localisation :
|
Posté le 06/06/2014 à 09:10:13
|
Citer
|
|
Bonjour,
Je dis peut-être une bêtise, mais si tu souhaites que les fichiers soient accessibles autant à tes utilisateurs qu'à www-data, à part le fait que l'utilisateur ne fasse parti du groupe (www-data), je ne suis pas sur que ce soit vraiment possible (en prenant en compte la sécurité des sites).. Je dirais même que c'est déconseillé.
Est-ce que tu as essayé de voir peut être du côté de jailkit pour le chroot et/ou de suPHP et suexec pour apache ?
Vraiment, si le LAMP est accessible à des utilisateurs, il faudra vraiment faire attention à la sécurité de ton environnement.
|
| |
|
|
|
Inscrit le : 29/10/2013
Messages : 240
Point(s) : 3987
Distribution : Debian ArchLinux Localisation : Albi, Tarn, France
|
Posté le 06/06/2014 à 13:55:53
|
Citer
|
|
si c'est juste sur une connection ftp le chroot, l'utilisation de puref-ftpd est plus simple mais si c'est pour tout l'environement je suis d'accord avec wiii
|
_________________
HP EliteBook 8560p i7 2.8Ghz Ubuntu 20.04
RPi 4 2Go raspbian Domoticz
RPi 2 Octopi et Anet A8
Souris: RAT 7
Clavier: KBTalking Pure PRO 60% Black/Green
Mon Twitter
Mon hébergeur : PlanetHoster
Tu es nouveau et tu n'as pas encore fait ta présentation, va la faire on aime bien savoir des choses sur toi comme ou tu viens pourquoi tu es venu sur PL et sur Linux bien sur ;)
Pas de support par MP
Il me manque des accents quand je te réponds ? C'est juste que je suis en QWERTY et que je suis pas passé en US international #flemme
|
|
|
|
Inscrit le : inconnu
Messages : inconnu
Point(s) : 0
Distribution : Debian ArchLinux Localisation :
|
Posté le 16/06/2014 à 16:42:50
|
Citer
|
|
J'ai opté pour la solution ftp avec pureftpd. J'ai trouvé un tuto qui explique bien comment le mettre en place avec l'utilisation d'une BdD MySQL pour les utilisateurs.
tuto ici: http://info-guit.pagesperso-orange.fr/info12.html
Maintenant, je veux mettre en place un certificat TLS comme expliqué ici: http://www.server-world.info/en/note?os=Debian_7.0&p=ftp&f=7
Mais lorsque je veux me connecter, j'ai le message suivant dans le syslog:
Jun 16 16:36:41 debiandev sshd[23247]: Invalid user usrtmp from [mon adresse IP]
Jun 16 16:36:41 debiandev sshd[23247]: input_userauth_request: invalid user usrtmp [preauth]
Jun 16 16:36:41 debiandev sshd[23247]: pam_unix(sshd:auth): check pass; user unknown
Jun 16 16:36:41 debiandev sshd[23247]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=ip-164.net-81-220-57.lyon.rev.numericable.fr
Jun 16 16:36:43 debiandev sshd[23247]: Failed password for invalid user usrtmp from [mon adresse IP] port 52246 ssh2
Jun 16 16:36:43 debiandev sshd[23247]: fatal: Read from socket failed: Connection reset by peer [preauth]
Une idée d'ou cela peut venir?
|
| |
|
|
|
Inscrit le : 27/02/2014
Messages : 6
Point(s) : 53
Distribution : XUbuntu Localisation : Lanas, Ardèche, France
|
Posté le 16/06/2014 à 17:26:32
|
Citer
|
|
Je veux pas dire de bêtises, mais as-tu installer openssh-serveur ?
|
_________________
OS : XUbuntu sur 1 ASUS et 1 SAMSUNG
Debian sur un serveur de sauvegarde
|
|
|
|
Inscrit le : inconnu
Messages : inconnu
Point(s) : 0
Distribution : XUbuntu Localisation :
|
Posté le 17/06/2014 à 09:52:20
|
Citer
|
|
root@debiandev:~# aptitude show openssh-server
Paquet : openssh-server
État: installé
Automatiquement installé: oui
Multiarchitecture : étranger
Version : 1:6.0p1-4+deb7u1
Priorité : optionnel
Section : net
Responsable : Debian OpenSSH Maintainers <debian-ssh@lists.debian.org>
Architecture : amd64
Taille décompressée : 726 k
Dépend: libc6 (>= 2.8 ), libcomerr2 (>= 1.01), libgssapi-krb5-2 (>= 1.10+dfsg~), libkrb5-3 (>= 1.6.dfsg.2),
libpam0g (>= 0.99.7.1), libselinux1 (>= 1.32), libssl1.0.0 (>= 1.0.1), libwrap0 (>= 7.6-4~),
zlib1g (>= 1:1.1.4), debconf (>= 1.2.0) | debconf-2.0, openssh-client (= 1:6.0p1-4+deb7u1),
libpam-runtime (>= 0.76-14), libpam-modules (>= 0.72-9), adduser (>= 3.9), dpkg (>= 1.9.0),
lsb-base (>= 3.2-13), procps
Recommande: xauth, ncurses-term, openssh-blacklist, openssh-blacklist-extra
Suggère: ssh-askpass, rssh, molly-guard, ufw, monkeysphere
Est en conflit: rsh-client (< 0.16.1-1), sftp, ssh (< 1:3.8.1p1-9), ssh-krb5 (< 1:4.3p2-7), ssh-nonfree (<
2), ssh-socks, ssh2
Remplace: openssh-client (< 1:3.8.1p1-11), ssh, ssh-krb5
Fournit: ssh-server
|
Dernière édition le 17/06/2014 à 09:52:37
|
|
|
|
Inscrit le : inconnu
Messages : inconnu
Point(s) : 0
Distribution : XUbuntu Localisation :
|
Posté le 17/06/2014 à 10:10:02
|
Citer
|
|
OK... autant pour moi... j'avais oublié de paramétrer filezilla en ftp avec tls et non en ssh:
Maintenant je peux me connecter et filezilla récupère bien le certificat TLS que j'ai créé.
Par contre quelqu'un peut'il me dire la différence entre "Connexion FTP explicite TLS" et "Connexion FTP implicite TLS" ?
|
| |
|
|
|
Inscrit le : inconnu
Messages : inconnu
Point(s) : 0
Distribution : XUbuntu Localisation :
|
Posté le 17/06/2014 à 14:06:37
|
Citer
|
|
| Citation: | | Par contre quelqu'un peut'il me dire la différence entre "Connexion FTP explicite TLS" et "Connexion FTP implicite TLS" ? |
C'est bon ...
Wikipedia à tout expliqué :)
Merci à tous pour votre aide.
|
| |
|
|
|
Accueil
Se rencontrer
Forum
Membres
Documentation
Contact
