Как установить и настроить Scponly на CentOS 7

scponly - это безопасная альтернатива анонимному FTP. Это дает администратору возможность настроить защищенную учетную запись пользователя с ограниченным удаленным доступом к файлам и без доступа к интерактивной оболочке.

Зачем использовать scponly вместо обычного SSH? С помощью scponly вы предоставляете пользователю удаленный доступ для загрузки и загрузки определенных файлов. У них не будет интерактивной оболочки, что означает, что они не могут выполнять команды. Пользователь может получить доступ к серверу только через + scp +, + sftp + или через клиенты, которые поддерживают эти протоколы. С точки зрения безопасности, это уменьшает вашу поверхность атаки, ограничивая ненужный доступ к интерактивной оболочке на сервере.

Для этого урока вам понадобится свежая CentOS 6 или 7 капель.

Все команды в этом руководстве должны выполняться от имени пользователя без полномочий root. Если для этой команды требуется root-доступ, ему будет предшествовать + sudo +. Если у вас его еще нет, следуйте этому руководству: Initial Настройка сервера на CentOS 6 или https : //www.digitalocean.com/community/tutorials/initial-server-setup-with-centos-7 [Начальная настройка сервера для CentOS 7].

scponly доступен в некоторых сторонних репозиториях, но эти сборки scponly устарели и в них отсутствуют некоторые функции, которые мы добавим при сборке scponly из исходного кода.

Для сборки scponly из исходного кода вам нужно установить следующие 5 пакетов:

Мы будем использовать yum для установки необходимых пакетов, необходимых для сборки scponly. Во время установки yum мы передадим необходимые имена пакетов, а также + -y +, который автоматически отвечает yes на все запросы.

Установите + wget,` + gcc + , + man`, + rsync и` + openssh-clients` с помощью команды + yum install +:

В этом разделе мы будем загружать последнюю сборку scponly из sourceforge с помощью + wget + и извлекать файлы с помощью + tar +.

Перед загрузкой scponly перейдите в каталог + / opt +. Этот каталог обычно предназначен для программного обеспечения optional.

На момент написания этой статьи последний снимок scponly был * 2011.05.26 *. Вы можете проверить Sourceforge страницу для более поздней версии и соответствующим образом настроить команду + wget +.

Загрузите исходный код scponly, используя + wget +:

Извлеките исходный код Scponly:

В этом разделе мы будем использовать 3 основные команды для сборки scponly: + configure +, + make + и + make install +. Эти 3 команды чаще всего используются при загрузке и установке программного обеспечения из исходного кода.

Перейдите в каталог, содержащий исходный код scponly, который вы только что распаковали:

Сначала запустите команду + configure +, чтобы создать make-файл со всеми функциями, которые вы хотите включить или отключить при сборке из исходного кода:

Были использованы следующие параметры:

Далее мы соберем scponly с помощью команды + make +. Команда + make + берет все параметры, которые вы передали с помощью команды + configure +, и встраивает их в двоичные файлы, которые будут установлены и запущены в ОС.

Далее мы установим двоичные файлы с помощью + make install:

Наконец добавьте оболочки scponly в файл + / etc / shells +:

Файл + / etc / shells + сообщает операционной системе, какие оболочки доступны для пользователей. Поэтому мы сообщаем операционной системе, что добавили новую оболочку в систему с именем + scponly + и что бинарный файл находится в + / usr / local / bin / scponly +.

Теперь мы создадим группу под названием scponly, чтобы мы могли легко управлять всеми пользователями, которые будут обращаться к серверу с помощью scponly.

В этом разделе мы создадим централизованный каталог загрузки для группы scponly. Это позволяет вам контролировать, где и сколько данных может быть загружено на сервер.

Создайте каталог с именем + / pub / upload +, это каталог, предназначенный для загрузки:

Измените принадлежность группы к каталогу + / pub / upload + на + scponly +:

Следующим шагом является настройка прав доступа к каталогу + / pub / upload +. Устанавливая разрешения для этого каталога на 770, мы даем доступ только корневым пользователям и членам группы scponly.

Измените разрешения для каталога + / pub / upload + на чтение, запись и выполнение для владельца и группы и удалите все разрешения для других:

Теперь мы собираемся настроить тестовую учетную запись пользователя, чтобы проверить нашу конфигурацию scponly.

Создайте пользователя с именем * testuser1 * и укажите * scponly * в качестве альтернативной группы и + / usr / local / bin / scponly + в качестве оболочки:

Измените разрешения для домашнего каталога * testuser1 * на чтение и выполнение только для владельца:

Наконец, установите пароль для пользователя * testuser1 *:

Теперь мы проверим доступ к оболочке scponly и убедимся, что он работает как положено.

Давайте проверим, что учетная запись * testuser1 * не имеет доступа к терминалу.

Попробуйте войти на сервер как testuser1:

Ваш терминал зависнет, так как у вас нет доступа к интерактивной оболочке. Нажмите + CTRL + C +, чтобы выйти из оболочки scponly.

Вы также можете проверить доступ с локального компьютера:

Опять же, ваш терминал зависнет, потому что testuser1 не разрешен доступ к оболочке. Нажмите + CTRL + C +, чтобы выйти из оболочки scponly.

В этом разделе мы будем подключаться через + sftp с вашего локального компьютера к вашей капле DigitalOcean, чтобы убедиться, что учетная запись` + test user1` может загружать файлы.

Сначала создайте файл размером 100 Мегабайт, используя + fallocate +:

Измените владельца файла + testfile.img + на testuser1:

В вашей локальной системе измените каталог на + / tmp +:

Далее + sftp + к вашему серверу DigitalOcean:

Вам может быть предложено сохранить ключ SSH при вводе пароля.

После входа в систему проблема + ls -l + в приглашении + sftp> +:

Загрузите файл с помощью команды + get +:

После завершения загрузки файла введите + quit + для выхода:

Вернитесь на локальный компьютер и убедитесь, что файл был успешно загружен:

В этом разделе мы будем тестировать способность учетной записи + testuser1 + загружать файлы на сервер с помощью + sftp +.

В вашей локальной системе создайте файл размером 100 мегабайт с именем + uploadfile.img +, используя + fallocate +:

Из локальной системы подключитесь к вашей DigitalOcean Droplet.

Затем загрузите + uploadfile.img + в + / pub / upload из приглашения` + sftp`:

Убедитесь, что файл был успешно загружен, введя следующую команду в приглашении + sftp +:

Результаты должны быть похожи на:

Наконец, введите + quit + в приглашении + sftp +:

scponly должен быть в каждом наборе инструментов администратора. Его можно использовать как безопасную альтернативу анонимному FTP или как способ предоставить аутентифицированным пользователям возможность загружать и выгружать файлы без интерактивной оболочки. Регистрация scponly происходит в стандартном файле журнала ssh + / var / log / secure +. Как всегда, читайте справочные страницы и обновляйте свою систему.

Для получения дополнительной информации о scponly перейдите на страницу GitHub scponly.