Serveur sftp, shell réduit (rssh) et chroot

Trucs et Astuces
#141

chemins croisés je crois …

il ne faut pas ajouter un groupe et des utilisateurs a ce groupe ?
j’ia tenté acec “#adduser machin kri2sis” >> ok mais ca ne change rien

tentative en séparant les users par une virgule :

Réponse : fzSftp started Commande : open "christele@192.168.1.54" 666 Commande : Approbation de la nouvelle clé de l'hôte : Une seule fois Commande : Pass: ********** Erreur : Échec de l'authentification. Erreur : Erreur critique Erreur : Impossible d'établir une connexion au serveur

#142

[quote]autre chose : rsyslog ne semble pas vouloir se mettre dans le chroot
Code:
root@debian-server:~# /etc/init.d/rsyslogd restart
-su: /etc/init.d/rsyslogd: Aucun fichier ou dossier de ce type
[/quote]
rsyslog … sans ‘d’

#143

Sur le serveur :

ls -al /usr/lib/rssh

réponse ici

#144

:clap: merci ricardo, tu m’ote une nouvelle poutre du pied (j’étais persuadé de l’avoir essayé sans le ‘d’…)

root@debian-server:~# ls -al /usr/lib/rssh total 88 drwxr-xr-x 2 root root 4096 19 févr. 11:02 . drwxr-xr-x 179 root root 53248 19 févr. 11:02 .. -rwsr-xr-x 1 root root 25192 22 nov. 22:51 rssh_chroot_helper
+

root@debian-server:~# ls -al /home total 32 drwxr-xr-x 8 root root 4096 19 févr. 11:17 . drwxr-xr-x 23 root root 4096 15 févr. 01:43 .. drwxr-xr-x 2 christele christele 4096 18 févr. 14:54 christele drwxr-xr-x 23 kri2sis kri2sis 4096 19 févr. 10:49 kri2sis drwxr-xr-x 2 machin machin 4096 19 févr. 11:17 machin drwxrwxr-x 5 root raid 4096 19 févr. 03:18 raid5 drwxr-xr-x 5 root root 4096 19 févr. 11:18 sftp drwxr-xr-x 3 112 121 4096 17 févr. 15:06 vsftpd

et ça au cas ou que j’ai placé tout en bas du fichier ne sachant où le disposer

en continuant le tuto de la premiere page, je tombe encore sur une erreur (du moins je crois) :

[quote]Redémarrer sshd:
Code:

/etc/init.d/sshd restart[/quote]

il semblerait que ce soit “#/etc/init.d/ssh restart” (cheze moi ça marche sans le ‘d’ (on a chassé mes démons !!))

désolé je bombarde, mais c’est pour rien oublier
dans le fichier /etc/rsyslog.conf

$FileOwner root $FileGroup adm $FileCreateMode 0640 $DirCreateMode 0755 $Umask 0022
on laisse tout comme ça ? meme le Umask ?

#145

Le fichier rsyslog.conf, c’est pour avoir les logs de connexions sur le sftp. Il faut en effet tout laisser pareil, mais ajouter quelques lignes :

local7.info /var/log/sftp local6.info /var/log/sshd
À condition d’avoir configuré dans /etc/ssh/sshd : [code]# Logging
SyslogFacility LOCAL6
LogLevel INFO

Subsystem sftp /usr/lib/openssh/sftp-server -f LOCAL7 -l INFO
[/code]

Enfin, concernant /etc/init.d/sshd , en effet, c’est une faute dans le wiki, il n’y a pas besoin du d :slightly_smiling: Au passage, si tu connais le nom du service (ici ssh), il y a plus simple en tapant :

#146

ah mince !!! je ne peux plus accéder en shell ou sftp … :017 :open_mouth:

probleme identification mais je vois pas le mot de pass est bon pourtant !!!

c’est apparu apres reboot de la box (avec port 666 redirigé sur le 22)

donc visiblement, si je mets le port 22 au ssh (sans redirection 666 dansla box) la connexion est refusée par le serveur (logique !)
si je mets le port 66 au ssh (sans redirection sur la box) une authentification est demandée et le mot de passe n’est pas considéré comme bon
si je mets le port 666 (avec redirection sur la box) une authentification est demandée et le mot de passe n’est pas considéré comme bon
et pour le port 22 (avec redirection sur la box : connexion refusée (encore logique !!!)

donc mon mot de passe semble etre en cause malheureusement je n’ai pas le souvenir de l’avoir changé (et par défaut en attendant il est le mem pour tous mes users fictifs

(je ne me susi tout de mem pas fait piraté déjà ??!!)

#147

Tu fais partie des utilisateurs autorisés? (PermitLogin dans /etc/ssh/sshd)

#148

jen’ai pas manipulé le cet élément mais je serais ravi de le faire… malheureusement pas moyen d’entrer et vu que le Root est interdit…

ca pue la réinstallation systeme pfffffff

#149

[quote=“kri2sis”]…
et ça au cas ou que j’ai placé tout en bas du fichier ne sachant où le disposer

[/quote]C’est bon dans le bas du fichier mais moi, je les place chacun sur une ligne en répétant ‘AllowUsers’ à chaque fois.

[quote]
en continuant le tuto de la premiere page, je tombe encore sur une erreur (du moins je crois) :
Redémarrer sshd:
Code:

/etc/init.d/sshd restart

il semblerait que ce soit “#/etc/init.d/ssh restart” (cheze moi ça marche sans le ‘d’ (on a chassé mes démons !!))[/quote]Oui, c’est une faute du tuto. Je l’avais signalée à Yann mais il semblerait qu’il a oublié de corriger. Donc, c’est bien ‘ssh’ qu’il faut redémarrer.

#150

Pour les redirections de port, il faut mettre deux fois le même, donc chez toi 666. Tu ne dois pas mettre 22.
Quel est ton FAI ? si tu te sers de la box comme routeur.

#151

box : sfr NB4
je vais voir et j’édite ce post pour vous dire

bon j’ai noté les port 22-22 et sur une autre ouverture 666-666

rien n’a changé ca fonctionne toujours pas
je vais voir pour rebooter mais je peux pas le faire pour le moment

le serveur a aussi disparu du réseau

#152

bon ben j’ai rebooté la box et rien…

[quote]Statut : Connexion à 192.168.1.54:666…
Réponse : fzSftp started
Commande : open "kri2sis@192.168.1.54" 666
Commande : Pass: **********
Erreur : Échec de l’authentification.
Erreur : Erreur critique
Erreur : Impossible d’établir une connexion au serveur[/quote]

la solution qu’il me reste est la réinstall, en souhaitant que le raid ne soit pas touché…

#153

je suis enfin rentré dedans via le serveur et j’ai de nouveau acces au sftp avec un utilisateur toujours le meme (les autres non)

voici ce que j’ai copié de FileZilla en log de connexion :

[quote]Récupération du contenu du dossier…
Commande : pwd
Réponse : Current directory is: "/home/kri2sis"
Commande : ls
Statut : Listing directory /home/kri2sis
Statut : Calcul du décalage horaire du serveur…
Commande : mtime ".aptitude"
Réponse : 1361267394
Statut : Décalage du fuseau horaire : Serveur : 3600 secondes, Local : 3600 secondes. Différence : 0 secondes.
Statut : Contenu du dossier affiché avec succès[/quote]
c’est un peu bizarre tout ç amais toujours ce proble de non-connexion… je peux savoir ce que vous en pensez ? ? (les ports semblent ok, mais au niveau des droits…)

merci

#154

Puisque tu te connectes avec ‘toi’, c’est que le port est bien configuré.
Pour les autres c’est autre chose à trouver.
As-tu essayé en ligne de commande dans ce genre :
$ sftp -oPort=XXX machin@192.168.X.Y

#155

ca fait comme tout à l’heure
c’est un souci de connexion pas de mot de passe là

The authenticity of host '[192.168.1.54]:666 ([192.168.1.54]:666)' can't be esta blished. RSA key fingerprint is bb:ec:70:0f:9d:06:e0:24:f9:24:d4:77:13:1f:9b:09. Are you sure you want to continue connecting (yes/no)? y Please type 'yes' or 'no': yes Warning: Permanently added '[192.168.1.54]:666' (RSA) to the list of known hosts . machin@192.168.1.54's password: Connection closed

#156

Il demande une authentification par clefs.
tu n’as pas créé de clefs, je suppose ?

#157

non ricardo, d’ailleurs je ne sais pas ce que c’est

edit : si je sais sur FTP normal mais je ne pensais aps que sftp deamdais une clé (RSA)
je la fait comme pour le ftp ?

ré-edit : les clés sont dans /etc/ssh… pour voir ce qui se passaait, j’ai commenté les lignes qui les mettent en authentification, mais rien n’a changé, tout pareil (j’ai enregistré le fichier au préalable et copié dans un endroit sûr)

#158

dans le livre “cahier de l’admin - debian Squeeze” il est noté la façon de créer la biclé.
j’ai donc fait

root@debian-server:~# ssh-keygen -t rsa Your public key has been saved in /root/.ssh/id_rsa.pub. The key fingerprint is: 57:9b:5d:7b:64:91:cc:64:87:8e:51:64:29:aa:9f:0a root@debian-server The key's randomart image is: +--[ RSA 2048]----+ | oB*o| | o.++o| | ..= +| | ...+.+.| | S.. o ...| | .. .| | E . . | | . o | | .. | +-----------------+
puis :

root@debian-server:~# ssh-copy-id debian-server ssh: connect to host debian-server port 22: Connection refused
…

est ce que suelqu’un pourrait m’aider svp ??
je cherche sans trouvé et je suis largué

merci a vous

#159

[quote=“kri2sis”]ca fait comme tout à l’heure
c’est un souci de connexion pas de mot de passe là

The authenticity of host '[192.168.1.54]:666 ([192.168.1.54]:666)' can't be esta blished. RSA key fingerprint is bb:ec:70:0f:9d:06:e0:24:f9:24:d4:77:13:1f:9b:09. Are you sure you want to continue connecting (yes/no)? y Please type 'yes' or 'no': yes Warning: Permanently added '[192.168.1.54]:666' (RSA) to the list of known hosts . machin@192.168.1.54's password: Connection closed[/quote]

le message ci dessus me parait normal, il te confirme simplement qu’ il enregistre le fingerprint dans known_hosts comme c’ est le cas lors d’ un première connexion après installation, donc générer des clefs avec ssh-keygen ne fera rien avancer si une simple authentification par mot de passe ne fonnctione déjà pas, qu’ en penses tu Ricardo ?

et en voyant ça: "machin@192.168.1.54’s password:
Connection closed" j’ en déduis qu’ il reconnait bien ton mot de passe mais il te déconnecte illico …
tu devrais poster ton fichier /etc/ssh/sshd_config

et aussi simple hyphotèse: suite à migration Squeeze Wheezy j’ ai eu le même truc et cela venait du fichier libnss_files.so.2

#160

[quote="/etc/ssh/sshd_config"]# Package generated configuration file

See the sshd_config(5) manpage for details

What ports, IPs and protocols we listen for

Port 666

Use these options to restrict which interfaces/protocols sshd will bind to

#ListenAddress ::
#ListenAddress 0.0.0.0
Protocol 2

HostKeys for protocol version 2

HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
#Privilege Separation is turned on for security
UsePrivilegeSeparation yes

Lifetime and size of ephemeral version 1 server key

KeyRegenerationInterval 3600
ServerKeyBits 768

Logging

SyslogFacility LOCAL6
LogLevel INFO

Authentication:

LoginGraceTime 120
PermitRootLogin no
StrictModes yes

RSAAuthentication yes
PubkeyAuthentication yes
#AuthorizedKeysFile %h/.ssh/authorized_keys

Don’t read the user’s ~/.rhosts and ~/.shosts files

IgnoreRhosts yes

For this to work you will also need host keys in /etc/ssh_known_hosts

RhostsRSAAuthentication no

similar for protocol version 2

HostbasedAuthentication no

Uncomment if you don’t trust ~/.ssh/known_hosts for RhostsRSAAuthentication

#IgnoreUserKnownHosts yes

To enable empty passwords, change to yes (NOT RECOMMENDED)

PermitEmptyPasswords no

Change to yes to enable challenge-response passwords (beware issues with

some PAM modules and threads)

ChallengeResponseAuthentication no

Change to no to disable tunnelled clear text passwords

PasswordAuthentication yes

Kerberos options

#KerberosAuthentication no
#KerberosGetAFSToken no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes

GSSAPI options

#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes

X11Forwarding no
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes
#UseLogin no

#MaxStartups 10:30:60
#Banner /etc/issue.net

Allow client to pass locale environment variables

Subsystem sftp /usr/lib/openssh/sftp-server

Set this to ‘yes’ to enable PAM authentication, account processing,

and session processing. If this is enabled, PAM authentication will

be allowed through the ChallengeResponseAuthentication and

PasswordAuthentication. Depending on your PAM configuration,

PAM authentication via ChallengeResponseAuthentication may bypass

the setting of “PermitRootLogin without-password”.

If you just want the PAM account and session checks to run without

PAM authentication, then enable this but set PasswordAuthentication

and ChallengeResponseAuthentication to ‘no’.

UsePAM yes

AllowUsers kri2sis
AllowUsers machin
AllowUsers christele
AllowUsers gintoxic
AllowUsers truc
[/quote]

et que faire pour ce fichier que je e connais pas ? (pas le contenu quoi) ?