ProFTPD - Zugriff intern/extern
Christian Winther
bin dabei, mir ein Konzept fï¿œr den Einsatz eines FTP-Servers zu ï¿œberlegen.
Grund: Alternative fï¿œr ausufernden Mailanhï¿œnge
Bestehendes Netz:
+-->[DMZ]
|
V
I-Net <-->[router]<-->[FW]
^
|
+-->[internes Netz]
- Router hat extern eine feste IP
- Portforwarding etc. muss auf der FW eingerichtet werden
Anforderungen:
- FTP-Server soll in DMZ
- anonymous nicht notwendig
- separate Bereiche:
/var/ftp/customer/<c1>
...
/var/ftp/customer/<cn>
/var/ftp/internal/<i1>
...
/var/ftp/internal/<in>
==> lￜￜt sich ￜber diverse virtuelle Nutzer abbilden ==> OK
- Zugriff von Innen und von Auï¿œen mgl.
Frage(n):
Wie macht man das am Besten/Sichersten/Sinnvollsten bei
o.g. Gegebenheiten?
- 2. Bein des FTP-Servers ins internes Netz ==> Sicherheitsrisiko(!)
- virtuelles Server?
...
Bin aus dem Durchackern der Docs und FAQs auf http://www.proftpd.org/
nicht so recht schlau geworden und bevor ich Blï¿œdsinn baue, frage ich
hier lieber mal nach.
MfG CW
Peter Gröhlmann
>
> Grund: Alternative für ausufernden Mailanhänge
>
> Bestehendes Netz:
>
> +-->[DMZ]
> |
> V
> I-Net <-->[router]<-->[FW]
> ^
> |
> +-->[internes Netz]
>
> - Router hat extern eine feste IP
> - Portforwarding etc. muss auf der FW eingerichtet werden
>
> Anforderungen:
>
> - FTP-Server soll in DMZ
>
> - anonymous nicht notwendig
> - separate Bereiche:
> /var/ftp/customer/<c1>
> ...
> /var/ftp/customer/<cn>
> /var/ftp/internal/<i1>
> ...
> /var/ftp/internal/<in>
>
>
> - Zugriff von Innen und von Außen mgl.
>
> Frage(n):
>
> Wie macht man das am Besten/Sichersten/Sinnvollsten bei
> o.g. Gegebenheiten?
>
> - 2. Bein des FTP-Servers ins internes Netz ==> Sicherheitsrisiko(!)
> - virtuelles Server?
>
> ...
>
> nicht so recht schlau geworden und bevor ich Blödsinn baue, frage ich
> hier lieber mal nach.
Man sollte hier gar kein FTP nehmen, weil das keine Verschlüsselung
kann.
Ich würde jedem Benutzer einen Shell-Account geben, dann können sie
SCP machen
--
Peter Gröhlmann
Peter Köhlmann
< snip >
>> Frage(n):
>>
>> Wie macht man das am Besten/Sichersten/Sinnvollsten bei
>> o.g. Gegebenheiten?
>>
>> - 2. Bein des FTP-Servers ins internes Netz ==> Sicherheitsrisiko(!)
>> - virtuelles Server?
>>
>> ...
>>
>> Bin aus dem Durchackern der Docs und FAQs aufhttp://www.proftpd.org/
>> nicht so recht schlau geworden und bevor ich Blödsinn baue, frage ich
>> hier lieber mal nach.
>
> Man sollte hier gar kein FTP nehmen, weil das keine Verschlüsselung
> kann.
>
> Ich würde jedem Benutzer einen Shell-Account geben, dann können sie
> SCP machen
>
SFTP existiert, "linuxw...@hotmail.com"
--
The Day Microsoft makes something that does not suck is probably
the day they start making vacuum cleaners.
Peter Gröhlmann
> linuxwich...@hotmail.com wrote:
>
> < snip >
>
>
>
> >> Frage(n):
>
> >> Wie macht man das am Besten/Sichersten/Sinnvollsten bei
> >> o.g. Gegebenheiten?
>
> >> - 2. Bein des FTP-Servers ins internes Netz ==> Sicherheitsrisiko(!)
> >> - virtuelles Server?
>
> >> ...
>
> >> Bin aus dem Durchackern der Docs und FAQs aufhttp://www.proftpd.org/
> >> nicht so recht schlau geworden und bevor ich Blödsinn baue, frage ich
> >> hier lieber mal nach.
>
> > Man sollte hier gar kein FTP nehmen, weil das keine Verschlüsselung
> > kann.
>
> > Ich würde jedem Benutzer einen Shell-Account geben, dann können sie
> > SCP machen
>
Hör auf rumzulabern
--
Peter Gröhlmann
Christian Winther
[Einrichtung FTP-Server mit externem+internen Zugriff]
> Man sollte hier gar kein FTP nehmen, weil das keine Verschl�sselung
> kann.
>
> Ich w�rde jedem Benutzer einen Shell-Account geben, dann k�nnen sie
> SCP machen
Sehe ich nicht so, weil
- Nutzer nicht unbedingt Computerfreaks sein werden
- FTP etabliert ist und nach einmaliger Einrichtung des Clients (z.Bsp.
FileZilla) weitgehend schmerzfrei nutzbar ist
- Verschl�ssselung mgl. (z.B. TLS)
MfG CW
Christian Winther
[FTP-Server - intern/extern]
> Das Thema ist aber nicht Linux-spezifisch. ;-) Daher bist Du hier
> nicht richtig. Thematisch sind die Newsgroups
> de.comp.os.unix.networking.misc und de.comp.security.misc besser
> geeignet.
OK. Dann frage ich dort nochmal nach.
> Im ï¿œbrigen ist es grundsï¿œtzlich eine schlechte Idee, als Anfï¿œnger
> gleich einen ï¿œffentlich erreichbaren Dienst anzubieten. Und dann
> auch noch einen so sicherheitstechnisch brisanten wie FTP. :-( Das
> Lernen sollte in abgeschotteten, privaten Netzen stattfinden.
> Nachdem man dann eine hinreichende Sachkunde erworben hat, kann man
> darï¿œber nachdenken, einen ï¿œffentlich erreichbaren Dienst anzubieten.
Die Tests finden in abgeschotteten, privaten Netzen statt: aktuell auf
VMs, danach auf einem "Test-Blech".
> Alles andere ist (grob) fahrlï¿œssig. Alternative: Die Sache von einem
> Dienstleister erledigen lassen.
>
Bei unserem Haus- und Hof-Dienstleister bekomme ich da MS+ISA. Das will
ich - fï¿œr den anvisierten Zweck - nicht.
MfG CW
Henning Paul
Es gibt doch z.B. WinSCP.
> - Verschl�ssselung mgl. (z.B. TLS)
Das erledigt sich dann bei SCP von selbst.
Gru�
Henning
Realname [m]
> Am 06.01.2010 15:34, schrieb Peter Gröhlmann:
> [Einrichtung FTP-Server mit externem+internen Zugriff]
>> kann.
>>
>> Ich würde jedem Benutzer einen Shell-Account geben, dann können sie
>> SCP machen
>
> Sehe ich nicht so, weil
>
> - Nutzer nicht unbedingt Computerfreaks sein werden
Ist kein Grund dagegen; SSH, SCP und SFTP sind durchaus etabliert und sollten
den wenigsten unbekannt sein.
> - FTP etabliert ist und nach einmaliger Einrichtung des Clients (z.Bsp.
> FileZilla) weitgehend schmerzfrei nutzbar ist
WinSCP
> - Verschlüssselung mgl. (z.B. TLS)
Kann die auch erzwungen werden? Wenn der Server sich da nach dem Client
richtet, musst du damit rechnen, dass viele deiner Benutzer ohne
Verschlüsselung arbeiten werden.
Ich sehe dennoch den Einsatz von SSH kritisch. Denn der SSHD läuft als root.
Muss er auch, weil er sich jeweils zu dem angefragten Benutzer "machen"
können muss. Bei FTP hingegen hast du virtuelle Benutzer, das läuft alles in
der Welt des FTPD. Dieser könnte also als non-root laufen, nachdem er sich an
Port 80 gebunden hat.
Bei SSH musst du auf jeden Fall absichern, dass nichts anderes als SCP oder
SFTP möglich ist! Dafür gibt es aber etliche Tutorials im Netz.