Bearbeiten von „OpenSsh“

[[Kategorie:ServerApplikation]] 
[[Kategorie:Sicherheit]]

= Konfiguration =

== Schlüsselgenerierung ==

<pre> ssh-keygen -t rsa -b 4096
</pre>

== ssh-Sitzung mit Schlüssel ==
* id_rsa.pub auf dem Zielrechner in die Datei authorized_keys eintragen
* Verzeichnis ist das Homeverzeichnis des Users, mit dem angemeldet wird.
<pre>chmod 755 .ssh
chmod 600 .ssh/authorized_keys
</pre>

= Kommandos =

<pre>ssh -i /home/jonny/id_rsa jonny@extern.host.de

rsync -e "ssh -i /home/jonny/id_rsa" /home backup@backup.example.com

ssh-copy-id -i ~/.ssh/id_rsa hm@host
</pre>
== Port-Forwarding ==

Auf dem Server in /etc/ssh/sshd_config: 
<pre># allow remote port forwarding:
GatewayPorts yes
</pre>
* systemctl reload sshd

Lokal:
<pre>ssh -nNT -p 10106 -R 6379:localhost:6379 wk@bt
</pre>


== SFTP-chroot-Umgebung ==
* /etc/ssh/sshd_config
<pre>Match Group sftponly
        ChrootDirectory /home/%u
        ForceCommand internal-sftp
        AllowTcpForwarding no
</pre>
oder
<pre>Match User jonny
        ChrootDirectory /opt/jail_jonny
        ForceCommand internal-sftp
        AllowTcpForwarding no
</pre>
* Rechte /opt/jail_jonny:
<pre>DIR=/opt/jail_jonny
chown root.root $DIR
chmod 755 $DIR
</pre>
* Eintrag in /etc/fstab:
<pre>
/data/dir1   /opt_jail_jonny     none    bind   
</pre>

== Zugriff auf RSync beschränken ==
* Client
** Benutzer einrichten: adduser extbup
** Keys erzeugen, ohne Passwort
** in /home/extbup/.ssh/id_rsh.pub steht: ssh-rsa AAAAB3NzaC1y...5Ow== extbup@caribou

* Server:
** User einrichten: adduser buptiger
** In /home/buptiger/.ssh/authorized_keys:
<pre>
command="/usr/local/bin/rrsync /opt/extbackup/caribou",no-agent-forwarding,no-port-forwarding,no-pty,no-user-rc,no-X11-forwarding ssh-rsa AAA...5Ow== extbup@caribou
</pre>
oder mit Nur-Lese-Zugriff:
<pre>
command="/usr/local/bin/rrsync -ro /opt/extbackup/caribou",no-agent-forwarding,no-port-forwarding,no-pty,no-user-rc,no-X11-forwarding ssh-rsa AAA...5Ow== extbup@caribou
</pre>

<pre>
FN=/usr/local/bin/rrsync
test -x $FN  && gunzip /usr/share/doc/rsync/scripts/rrsync.gz -c > $FN && chmod uog+x $FN
</pre>
* Client:
** Die Zielpfadangabe von rsync ist immer relativ zu dem im Server angegebenen Verzeichnis /opt/extbackup/caribou
** rsync -a /opt/backup/dayly buptiger@server:.

== Chroot für rsync: ==
* /usr/local/bin/MkChroot.pl:
<pre>SCRIPT=/usr/local/bin/MkChroot.pl
cat <<'EOS' >$SCRIPT
#! /usr/bin/perl
use strict;

my $gv_zip = "/tmp/chroot.zip";

my $prog = shift;
my %gv_files;
if ($prog eq ''){
	die "usage: MkChroot.pl <program>";
}
if ($prog !~ m!/!){
	$prog = qx(which $prog);
}
&Init;
&Add($prog);
exit 0;

sub HandleLibs{
	my $prog = shift;
	my @lines = qx(ldd $prog);
	foreach my $line(@lines){
		# => /lib/x86_64-linux-gnu/libdl.so.2
		if ($line =~ m!^\s*(/\S+)!){ 
			&Add($1);
		} elsif ($line =~ m!=> (/\S+)!){
			&Add($1);
		} else {
			print "ignored: $line";
		}
	}
}
sub Add {
	my $file = shift;
	if ($gv_files{$file} eq ''){
		my $cmd = "zip -9 $gv_zip $file";
		print $cmd, "\n";
		system($cmd);
		$gv_files{$file} = 1;
		&HandleLibs($file);
	}
}
sub Init{
	foreach(qx(unzip -Z -1 $gv_zip)){
		chomp;
		$gv_files{"/$_"} = 1;
	}
}
EOS	
chmod uog+x $SCRIPT
</pre>
* Erstellen der chroot-Umgebung:
<pre>MkChroot.pl /bin/bash
MkChroot.pl rsync
cd /opt/jail
unzip /tmp/chroot.zip
</pre>
* Mount als /etc/fstab-Eintrag:
<pre>/opt/www   /opt/jail/www none bind 1 0
</pre>
* /etc/ssh/sshd_config
<pre>Match User jonny
        ChrootDirectory /opt/jail_jonny
        AllowTcpForwarding no
</pre>
@@ Zeile 14: / Zeile 14: @@
 <pre>chmod 755 .ssh
 chmod 600 .ssh/authorized_keys
-drwxr-xr-x   2 wk   wk   4096 Jul 28  2017 .ssh/
--rw-r--r--   1 wk   wk   1332 Aug 29  2018 .ssh/known_hosts
--rw-------   1 wk   wk   1921 Jun 26  2017 .ssh/authorized_keys
--rw-------   1 wk   wk   3326 Jul 28  2017 .ssh/id_rsa
--rw-r--r--   1 wk   wk    735 Jul 28  2017 .ssh/id_rsa.pub
 </pre>
 = Kommandos =
-<syntaxhighlight lang="bash">
+<pre>ssh -i /home/jonny/id_rsa jonny@extern.host.de
-ssh -i /home/jonny/id_rsa jonny@extern.host.de
 rsync -e "ssh -i /home/jonny/id_rsa" /home backup@backup.example.com
-ssh-copy-id -p 22 -i ~/.ssh/id_rsa hm@host
+ssh-copy-id -i ~/.ssh/id_rsa hm@host
-ssh-copy-id hm@host
-sudo -u extbup scp -P 22 file.txt bupsupply@myhost:.
-# Pw ändern:
-ssh-keygen -p
-ssh-keygen -p -f ~/.ssh/id_dsa
-</syntaxhighlight>
-== Zertifikate ermitteln, Widerruflisten ==
-<syntaxhighlight lang="bash">
-# Zertifikat herunterladen:
-openssl s_client -showcerts -connect  www.bundesdruckerei.de:443  </dev/null > bd.crt
-# Menschenlesbar machen:
-openssl x509 -in bd.crt -noout -text
-# Widerruf-Liste extrahieren:
-openssl x509 -in bd.crt -noout  -ext crlDistributionPoints
-# Widerrufliste herunterladen...
-curl -L [CRL-URL] > bd.crl
-# ... und anzeigen
-openssl crl -in bd.crl -noout -text
-</syntaxhighlight>
-== Test, ob Zertifikat widerrufen ist ==
-<syntaxhighlight lang="bash">
-openssl s_client -showcerts -connect  www.heise.de:443 </dev/null > h.crt
-openssl x509 -in h.crt -noout -ext authorityInfoAccess
-</syntaxhighlight>
-Ausgabe:
-<pre>
-Authority Information Access:
-    OCSP - URI:http://r3.o.lencr.org
-    CA Issuers - URI:http://r3.i.lencr.org/
 </pre>
-<syntaxhighlight lang="bash">
-curl -L [CA-Issuer-URL] > le-r3.crt
-openssl ocsp -issuer le-r3.crt  -cert h.crt -url [OCSP-URI]
-</syntaxhighlight>
-Antwort:
-<pre>
-WARNING: no nonce in response
-Response verify OK
-h.crt: good
- This Update: Feb 25 18:23:00 2024 GMT
- Next Update: Mar  3 18:22:58 2024 GMT
-</pre>
 == Port-Forwarding ==
 Auf dem Server in /etc/ssh/sshd_config:
-<spre>
+<pre># allow remote port forwarding:
-# allow remote port forwarding:
 GatewayPorts yes
 </pre>
@@ Zeile 89: / Zeile 33: @@
 Lokal:
-<syntaxhighlight lang="bash">
+<pre>ssh -nNT -p 10106 -R 6379:localhost:6379 wk@bt
-ssh -nNT -p 10106 -R 6379:localhost:6379 wk@bt
+</pre>
-</syntaxhighlight>
 == SFTP-chroot-Umgebung ==
 * /etc/ssh/sshd_config
-<pre>
+<pre>Match Group sftponly
-Match Group sftponly
          ChrootDirectory /home/%u
          ForceCommand internal-sftp
@@ Zeile 103: / Zeile 45: @@
 </pre>
 oder
-<pre>
+<pre>Match User jonny
-Match User jonny
          ChrootDirectory /opt/jail_jonny
          ForceCommand internal-sftp
@@ Zeile 110: / Zeile 51: @@
 </pre>
 * Rechte /opt/jail_jonny:
-<syntaxhighlight lang="bash">
+<pre>DIR=/opt/jail_jonny
-DIR=/opt/jail_jonny
 chown root.root $DIR
 chmod 755 $DIR
-</syntaxhighlight>
+</pre>
 * Eintrag in /etc/fstab:
 <pre>
@@ Zeile 129: / Zeile 68: @@
 * Server:
 ** User einrichten: adduser buptiger
-** Benutzer muss in /etc/shadow gelistet sein!
 ** In /home/buptiger/.ssh/authorized_keys:
 <pre>
 command="/usr/local/bin/rrsync /opt/extbackup/caribou",no-agent-forwarding,no-port-forwarding,no-pty,no-user-rc,no-X11-forwarding ssh-rsa AAA...5Ow== extbup@caribou
 </pre>
-oder mit Nur-Lese-Zugriff (oder -wo für Nur-Schreibzugriff):
+oder mit Nur-Lese-Zugriff:
 <pre>
 command="/usr/local/bin/rrsync -ro /opt/extbackup/caribou",no-agent-forwarding,no-port-forwarding,no-pty,no-user-rc,no-X11-forwarding ssh-rsa AAA...5Ow== extbup@caribou
 </pre>
-<syntaxhighlight lang="bash">
+<pre>
 FN=/usr/local/bin/rrsync
-test -x $FN || gunzip /usr/share/doc/rsync/scripts/rrsync.gz -c > $FN && chmod uog+x $FN
+test -x $FN  && gunzip /usr/share/doc/rsync/scripts/rrsync.gz -c > $FN && chmod uog+x $FN
-</syntaxhighlight>
+</pre>
 * Client:
 ** Die Zielpfadangabe von rsync ist immer relativ zu dem im Server angegebenen Verzeichnis /opt/extbackup/caribou
 ** rsync -a /opt/backup/dayly buptiger@server:.
-== rsync unter anderem Port erreichen ==
-<syntaxhighlight lang="bash">
-rsync -a -e 'ssh -p 10106' /home/ bupsrv@bigtoy:/bup-home
-</syntaxhighlight>
 == Chroot für rsync: ==
 * /usr/local/bin/MkChroot.pl:
-<syntaxhighlight lang="bash">
+<pre>SCRIPT=/usr/local/bin/MkChroot.pl
-SCRIPT=/usr/local/bin/MkChroot.pl
 cat <<'EOS' >$SCRIPT
 #! /usr/bin/perl
@@ Zeile 208: / Zeile 138: @@
 EOS
 chmod uog+x $SCRIPT
-</syntaxhighlight>
+</pre>
 * Erstellen der chroot-Umgebung:
-<syntaxhighlight lang="bash">
+<pre>MkChroot.pl /bin/bash
-MkChroot.pl /bin/bash
 MkChroot.pl rsync
 cd /opt/jail
 unzip /tmp/chroot.zip
-</syntaxhighlight>
+</pre>
 * Mount als /etc/fstab-Eintrag:
 <pre>/opt/www   /opt/jail/www none bind 1 0