[Problem] Dropbear SFTP Zugriff über FileZilla

[RalfFriedl]

Sieht so aus. Wobei die Abhängigkeiten dort etwas gewöhnungsbedürftig sind. Ich vermute, dass es daran liegt, das gewünscht wurde, die einzelnen Programme auszuwählen, damit diesen dann FREETZ_PACKAGE_OPENSSH auswählen. Die saubere Lösung wäre wohl, bei jedem Programm die benötigten Libraries aufzuführen.

 

[hermann72pb]

Der Server (ob dropbear oder sshd) läuft immer als root. Der sftp-server läuft als der angemeldete Benutzer, nachdem man sich am SSH Server angemeldet hat...

Genau dort ist der Hund begraben, Ralf. Wie gesagt, ich weiß nicht mehr die Details (muss mich wieder einlesen), aber genau bei dieser Lösung mit der externen sftp-Binary gab es bei OpenSSH einige Probleme. Es gibt bei OpenSSH darüber hinaus einen "internen" SFTP-Server, der in dieser Hinsicht etwas besser zu handhaben ist.
Und ja, alles läuft erstmal als Root (obwohl man dafür auch einen extra-User anlegen kann). Der entscheidene Punkt ist aber, dass wenn sich bei OpenSSH ein Benutzer anmeldet, dass dann eine separate Instanz mit den rechten von diesem benutzer gestartet wird. Und dort wird dann die Session des Benutzers gestartet. Beim "internen" sftp scheint bei OpenSSH diese "Übergabe" besser zu klappen.
Bitte nicht flasch verstehen: Ich benutze auch selbst SFTP von OpenSSH, bin aber voll bei dir mit der Argumentation: Im Unterschied z.B. zu einem FTP-Server sollte man da deutlich mehr aufpassen, wem man die Zugangsdaten vertraut.

MfG

 

[RalfFriedl]

Meinst Du mit dem internen sftp vielleicht scp? Ich wüsste nicht, warum OpenSSH einen externen und einen internen sftp Server anbieten sollte.

 

[hermann72pb]

Doch, doch, Ralf. Hier ist eins der vielen Tutorials, die Richtung chroot gehen:
http://www.online-tutorials.net/int...h-mit-sftp-und-chroot/tutorials-t-29-324.html
Wie man dort sofort erkennt:

/etc/ssh/sshd_config:

...

Subsystem       sftp    internal-sftp
#Subsystem      sftp    /usr/lib64/misc/sftp-server

Match Group sftponly
        ChrootDirectory /home/%u
        ForceCommand internal-sftp
        X11Forwarding no
        AllowTcpForwarding no

Wie gesagt, mag sein, dass es auch anders funktioniert. Die Möglichkeit, die auf dieser WebSeite beschrieben ist, findet sich aber oft im Netz. So kannst du eine Gruppe der Benutzer "sftponly" einführen. Diese Benutzer werden dann keinen SSH-Zugriff im Sinne "Shell" bekommen, sondern nur diese sftp-Möglichkeit sich zu verbinden. Und dies geht nur mit dem internen sftp-Server von OpenSSH.

Und das ist ganz sicher SFTP nicht SCP. Das würde ich schon merken. Sonst würde ich z.B. keine Verbindung mit Filezilla bekommen. Sie kann nur FTP, wenn ich mich richtig erinnere.

Du kannst jetzt natürlich sagen, dass die beschriebene Möglichkeit nicht perfekt ist. Die Nachteile kenne ich auch. Man kann sicherlich dem jeweiligen Benutzer einfach seine Shell entziehen oder den externen sftp-server ihm als Shell vorgauckeln. Solche Lösungen hatte ich ebenfalls im Netz gesehen. Sie sind aber deutlich komplizierter zu pflegen, als die hier vorgestellte, obwohl sie auch ihre Nachteile hat.

Edit:
Hier ist ein etwas besseres Tutorial (hatte selbst gerade eben entdeckt):
http://wiki.kairaven.de/open/os/linux/sftpssh

MfG

 

[RalfFriedl]

Danke für die Info.