VSFTP Erweiterung: ftps (ftp mit SSL)

[olistudent]

@cuma
Was genau meinst du? Ich kann das nicht finden?

MfG Oliver

 

[matze1985]

auch ich konnte in keinem der beiden changesets etwas derartiges finden.
Dies ließe sich sicher machen, aktuell ist aber kein unterschied zu vorher.

Matze

 

[henfri]

SSL Zertifikate

Hallo,

wäre es vielleicht möglich, die SSL Zertifikatsverwaltung zentral zu gestalten?
Dann könnte WebDav (http://www.ip-phone-forum.de/showthread.php?t=179968) davon auch profitieren.

Momentan ist WebDav mit SSL nämlich noch Handarbeit (und ich sehe auch einen einfachen Weg das zu umgehen) :-(

Gruß,
Hendrik

 

[olistudent]

@matze1985
Das ist der cert stuff. ;-)

MfG Oliver

 

[matze1985]

Dazu nachmal die Frage:
Ist webdav nicht ein Client und benötigt die Zertifikate der Server, zu denen es connecten soll, dies wären dann sehr viele und vorallem nicht die eigenen oder?

Wenn dem so ist, würde es keinen Sinn machen die Verwaltung der beiden zu sammen zu legen, denn VSFTPD ist ein Server und benötigt genau 1 Zertifikat mit passendem Key um die Sachen zu verschlüsseln.

edit: ah ok, danke Oli, dann würde ich mich freuen, wenn mir einer diese Frage beantwortet.

Ich sehe dann ehr die Möglichkeit 2 Zetifikatstellen einzurichten.
1x Client Zertifikate: für z.b. Webdav
1x Server Zertifikate: für z.b. Vsftpd oder Stunnel

Oder sehe ich jetzt was falsch?

 

[olistudent]

Ich hab keine Ahnung von Zertifikaten... ;-)

MfG Oliver

 

[matze1985]

gut zu wissen

Jemand anders ne Meinung?
Mich würde interssieren, ob ich jetzt total falsch liege?

 

[MaxMuster]

So den richtigen Sinn "Zertifikate zu sammeln" kann ich noch nicht sehen, das wäre m.E. nur dann sinnvoll, wenn ich ein Zertifikat / einen Schlüssel für mehrere Anwendungen nutze.
Ansonsten muss ich immer irgendwo einen Pfad zu einem Zert angeben, dementsprechend die Datei(en) vorher anlegen.

Letztlich wäre meiner Ansicht eine Möglichkeit, ob man vielleicht die "Dateien", die man unter dem Punkt "Einstellungen" pflegt, vielleicht noch irgendwie zusammenfassen oder gruppieren kann. Ich stelle mir halt die Frage, ob ich die Dateien finden. Beim OpenVPN ist das z.B. schon immer für mich ein "Bruch" gewesen, dass man diese Dinge an anderer Stelle pflegt.

Aber vielleicht könnte man ja, ähnlich wie ich das beim OpenVPN mit mehreren Zertifikaten gemacht habe, die Dateien in der GUI für "Einstellungen" ausblenden, dann aber versuchen, die z.B. über einen Link der Anwendung direkt aufzurufen, also im Freetz registrierte Dateien einführen, die den Status "versteckt" haben und nur über den direkten Link erreichbar wären?

Nur so als Anregungen...


Jörg

 

[matze1985]

Ich denke da ähnlich wie MaxMuster.
Für ClientAnwendungen würde es vielleicht sogar noch sinn machen diese zu sammeln, wäre aber auch nicht gerade gemäß dem Sicherheitsgedanken.

Für Serveranwendungen sollten allerdings in der Regel die Zertifikate getrennt werden, da in der regel auch jeder Server seinen eigenen Sinn hat, teilweise auch andere Ansprüche.

Die Zertifikate zu Gruppieren wäre allerdings ne tolle Sache und würde das Webif unter Einstellungen entlassten bzw. verschönern.

 

[henfri]

Hallo,

ich denke, folgendes macht Sinn:
1) Zentrale Stelle um die Zertifikate zu verwalten
2) Trennung von Client und Server Zertifikaten
3) Bei den Einstellungen der Server (z.b. vsftp) kann man dann aus den Serverzertifikaten eins auswählen (Drop down Liste?)
4) Die Clients 'vertrauen' allen Zertifikaten, die bei den Clientzertifikaten angegeben sind.

Gruß,
Hendrik

 

[matze1985]

Dies wäre sicher etwas optimaler in gewisser weise und auch mit dem vsftpd realisierbar, ich weiß aber nicht, ob man das nicht lieber in einen extra Thread(Ticket) auslagern sollte, da dies alle Server bzw. Clients betrifft, die mit ssl arbeiten.

Man müsste sich dann zuerst mal überlegen, wie man diese Veraltung in das Webif einbaut, denn man bräuchte ja fast nen getrennten Breich, bzw Unterbereich bei Einstellungen(dies ist aktuell wohl nicht möglich, vielleicht mit dem neuen Webif von McNetic) wo man dass realisieren könnte, Das Webif vom vsftpd entsprechend anzupassen, wäre dann nicht das Theman, denke ich.

 

[cuma]

Was genau meinst du? Ich kann das nicht finden?

Zeile 113: klick

 

[matze1985]

dies war aber schon immer so
klick
verändert wurde nur dass


aber man könnte mal versuchen es anzupassen, dass stimmt.

 

[cuma]

Dass es immer so war, muss nicht bedeuten, dass es gut ist .-]
Hat sich also erledigt. Und bei Freetz laufen eh fast alle Daemons als root

 

[matze1985]

Ich habe nicht gesagt, dass es gut ist. wollte nur zeigen, dass sich nichts verändert hat.
Werde es die woche vielleicht mal ausprobieren.

matze

 

[Darkyputz]

Hallo ihr findigen Geister...

Wollt mich bei euch für diese wirklich tolle Erweiterung des vsftp bedanken...
Bei mir rennt das jetzt wunderbar...
Und das der daemon statik gelinkt iss finde ich besonders gut...dadurch bleiben mir alle avm funktionen erhalten...
DANKE!!
Und im trunk iss es auch schon drin...hammer...
(wozu brauchte man jetzt noch gleich den bftp? *GRINS)

 

[henfri]

Hi Darky,

kannst du vielleicht kurz zusammenfassen, wo die Stolpersteine waren, damit ich/andere da nicht auch reinlaufe(n)?

Gruß&Danke,
Hendrik

 

[Darkyputz]

Aber gern...
kein zertifikat gehabt...
Daher mir eins mit meiner suse distri gemacht mit dem tip:

openssl req -new -x509 -nodes -out vsftpd.pem -keyout vsftpd.pem

(gibt aber viele ecken wo man sowas herbekommt(puttygen iss für windows auch einer)
Daraus dann einfach den gesamten Text in das Zertifikatfeld vom vsftp kopierne und fertig.
Im Vsftp dann die Punkte
SSL aktivieren, erlaube SSLv2, erlaube SSLv3 und erlaube TLSv1 aktiviert.
Dann nen ssl fähigen FTP client genommen (totalcommander ab vers 7 oder sonstwas)
und schon wars fertig...stolperstein hierbei war mein irrglaube nur einer der ssl varianten aktivieren zu müssen...warum alle 3 kann ich leider nicht für mich klären...aber es geht ja jetzt...

 

[henfri]

Portfreigabe

Hallo,

Vielen Dank!
hast du auch schon versucht, von Extern auf den Server zuzugreifen? Dafür müssen bestimmt noch Ports freigegeben werden, oder? Aber im AVM WebIF geht das ja nicht.
Ich glaube über die debug.cfg ging das... Aber wäre nicht hier noch ein Punkt im VSFTP WebIF gut?

Gruß,
Hendrik

 

[henfri]

Hallo,

für die zentrale Zertifikatsverwaltung habe ich ein Ticket aufgemacht:
http://www.freetz.org/ticket/299

Leider blicke ich beim WebIF nicht durch. Aber ich wäre schon in der Lage einen Entwurf zu testen und auch zu debuggen. Wenn jemand bereit wäre?

Gruß,
Hendrik