scponly
Archivierte Anleitung
Dieser Artikel wurde archiviert. Das bedeutet, dass er nicht mehr auf Richtigkeit überprüft oder anderweitig gepflegt wird. Der Inhalt wurde für keine aktuell unterstützte Ubuntu-Version getestet. Wenn du Gründe für eine Wiederherstellung siehst, melde dich bitte in der Diskussion zum Artikel. Bis dahin bleibt die Seite für weitere Änderungen gesperrt.
Hinweis:
Scponly ist ab Ubuntu 12.04 nicht mehr in den offiziellen Paketquellen enthalten. Alternative: ab OpenSSH 4.9 das eingebaute sftp-Jail verwenden. Anleitungen: Wikibooks 🇬🇧, Online Tutorial 🇩🇪.
Zum Verständnis dieses Artikels sind folgende Seiten hilfreich:
scponly 🇬🇧 erlaubt es eine FTP-ähnliche Up- und Downloadmöglichkeit einzurichten, allerdings über das verschlüsselte SSH-Protokoll. Damit werden Passwörter und Daten nicht, wie bei FTP, im Klartext übertragen, sondern verschlüsselt. Der Benutzer erhält dabei aber keinen Zugriff auf die Kommandozeile. Außerdem kann jedem Benutzer entweder ein eigenes Verzeichnis zugewiesen werden oder es können gemeinsame Verzeichnisse eingerichtet werden, auf die dann ausgewählte Benutzer Zugriff haben.
Installation¶
scponly ist bis Ubuntu 11.10 über die Paketverwaltung verfügbar und kann über das gleichnamige Paket
scponly (universe)
Befehl zum Installieren der Pakete:
sudo apt-get install scponly
Oder mit apturl installieren, Link: apt://scponly
installiert[1] werden.
Konfiguration¶
scponly bringt ein Skript mit, mit dem man einfach und komfortabel neue Benutzer in eine chroot-Umgebung "einsperren" kann (der Benutzer darf noch nicht existieren, sonst bricht das Script ab). Dieses Skript findet man unter /usr/share/doc/scponly/setup_chroot/. Führt [2] man nun
cd /usr/share/doc/scponly/setup_chroot sudo gunzip setup_chroot.sh.gz sudo chmod +x setup_chroot.sh sudo ./setup_chroot.sh
aus, so wird das Skript entpackt und man wird von einem Wizard durch die Konfiguration geführt. Das Homeverzeichnis wird erstellt, falls es noch nicht existiert und kann im Script angegeben werden (Standard: /home/user)
SUID-Bit setzen¶
Außerdem muss noch das fehlende SUID-Bit auf /usr/sbin/scponlyc gesetzt werden (51085). Dies wird durch folgenden Befehl erledigt (bei/ab Lucid nicht mehr nötig):
sudo chmod u+s /usr/sbin/scponlyc
/dev/null im chroot erstellen¶
(bei lucid nicht nötig) Leider funktioniert nicht bei allen Installation der sftp-Server auf Anhieb, oft ist das Problem hier, dass in der chroot-Umgebung /dev/null nicht existiert und einige Dateien in /lib der chroot-Umgebung fehlen. Dies kann man aber mit der folgenden Befehlsfolge beheben:
cd /home/USERNAME sudo mkdir dev cd dev sudo mknod -m 666 null c 1 3 cp /lib/libnss_files* -av /home/USERNAME/lib
Externes Verzeichnis einbinden¶
Möchte man nun z.B. das Verzeichnis /media/stuff für den Benutzer mit einbinden, dann erstellt man im jeweiligen Verzeichnis des Benutzers einen neuen Ordner mit dem Befehl
mkdir /home/USERNAME/stuff
Temporär einbinden¶
Mit dem Befehl:
mount -o bind /media/stuff /home/USERNAME/stuff
wird das Laufwerk nun temporär eingebunden.
Dauerhaft einbinden¶
Will man dem Benutzer auch nach Neustarts Zugriff auf das Verzeichnis gewähren, so muss man es in der fstab mit folgendem Zusatz einbinden:
/media/stuff /home/USERNAME/stuff none rw,bind 0 0
Das rw (read/write) kann man durch ein ro (read only) ersetzen[3], wenn man dem Benutzer nur lesend Zugriff gewähren will.
Test¶
Nun kann man sich mit seinem neu erstellten Benutzer und einem SCP-Client verbinden und testen, ob der neue Benutzer tatsächlich nur Lese- und Schreibrechte auf das zuvor angegebene Verzeichnis hat.
Problembehebung¶
620019: die SFTP-Session wird nach dem Anmelden sofort geschlossen (10.04, 10.10, 11.04, scponlyc)
Links¶
Wiki 🇬🇧
SCPonly mit Ubuntu 6.10 chrooted scp/sftp 🇩🇪 - Blogbeitrag 11/2007