ProFTPD, SSH og sikre brukere

[Photons]

Heisann.

 

Kjører en RedHat Server, med Apache og ProFTPD. Har opprettet 3 brukere på systemet, og disse kan da selvfølgelig logge inn via SSH og ProFTPD. Jeg har gitt streng beskjed kun om å benytte SSH (Putty og WinSCP) pga. sikkerheten, dermed så får brukerne ikke lov til å bruke vanlige FTP-program. Denne løsningen er jeg egentlig fornøyd med.

 

Så over til problemet: Jeg ønsker å gi tilgang til vanlig FTP for noen som jeg ikke ønsker skal ha tilgang på systemet (dvs, de får ikke lov til å logge inn via SSH). Hvordan kan jeg opprette 'rene' FTP-brukere uten at disse kan benytte user/pass for å komme inn via SSH? Skal også 'jaile' disse brukerne, men jeg må vite hvordan jeg kan opprette brukere i ProFTPD. Må jo gå an.

 

En annen løsning hadde vært å kunne 'jaile' en bruker på systemet til kun en mappe (ved bruk av SSH).

[Yamato47]

Jeg har en boks med FreeBSD og jeg bruker det innebygde ftpd-programmet.

 

Ftp-brukere er lista i passord-fila med skallet /sbin/nologin. Dette umuliggjør skall-tilgang. /sbin/nologin må også være med i /etc/shells, siden ftpd krever at brukerens skall er med der for å tillate login.

 

Jeg vil tro du vil kunne løse problemet ditt på en lignende måte. Filnavna er sikkert ikke de samme hos deg.

 

Du må chroote ftp-brukerne til ftp-rot-katalogen. Da bør vel denne katalogen være ftp-brukernes hjemmekatalog. Denne problemstillingen rundt Proftpd har vært diskutert nylig her, du finner det sikkert hvis du søker.

[Photons]

Aha, så istedenfor å opprette 'systembrukere' så legger du dem til i passord fila?

 

Takker og bukker, skal teste ut dette!

[Yamato47]

Pass deg! Det å endre på passord-filene for hånd kan _fort_ lede til total fuckup! Blir passord-databasen rota til står du fort igjen med et system det ikke lar seg gjøre å logge på, og det er ganske mye pes å rydde opp i. Ikke fikle med dette før du har absolutt kontroll på hva du driver med!

 

Kan du ikke velge skall og hjemmekatalog når du legger inn ny bruker?

[Photons]

Fant en annen 'lur' løsning. Jeg fjernet rett og slett /bin/bash fra brukerens home, og la til sbin/nologin. Hvilket resulterer i at SSH-shellet blir disablet, mens FTP-innloggingen fortsatt virker.

 

[laaknor]

jeg bruker å lage et kjapt shell til brukerne som jeg kaller /bin/nologin...

 

 

#!/bin/bash

 

passwd

logout

 

 

 

da har folka kun mulighet til å endre passord, og det er det eneste.... man vil ikke få "ekte" shell-tilgang...

 

 

Veit at det ikke er det sikreste å ha shell som ikke er compila, men det er en kjapp løsning.... og så har folka mulighet til å endre passord, noe som igjen blir sikrere...

[Photons]

Aha, den var ikke dum.