chrooter proftp [RESOLU] - postfix

Recherche :

Dernière réponse
Sujet : chrooter proftp [RESOLU] - postfix
bobor	toutes les lib pour bash sont bien dispos dans l'environnement chrooté. Postfix se lance bien, mais une fois lancé par la commande chroot /chroot/postfix `/usr/sbin/postfix start` je me retrouve sous bash en environnement chrooté. Cela ne fait pas ça avec proftpd. Et surtout je ne sais pas comment le lancé au démarrage dans ces conditions.

Votre réponse

Nom d'utilisateur

Pour poster, vous devez être inscrit sur ce forum .... si ce n'est pas le cas, cliquez ici !

Le ton de votre message

Votre réponse

Smilies

Liste des smilies perso
Wiki smilies
Chercher un smiley

Options

Activer votre signature
Désactiver les smilies
Activer la notification par email du sujet

Aperçu

Vous avez perdu votre mot de passe ?

Vue Rapide de la discussion

bobor

toutes les lib pour bash sont bien dispos dans l'environnement chrooté. Postfix se lance bien, mais une fois lancé par la commande chroot /chroot/postfix `/usr/sbin/postfix start` je me retrouve sous bash en environnement chrooté. Cela ne fait pas ça avec proftpd. Et surtout je ne sais pas comment le lancé au démarrage dans ces conditions.

asphro

alors oui en effet il faut plein d outil comme grep, chmod etc ..

solution tu chroot bash, ldd !!! et les lib qui vont avec dans ton environnment ou est postfix !!

ensuite tu te chroot dans chroot/postfix et la tu auras plus d'info sur ce qui te manque !!!

c 'est ce que j ai fais perso !!

bobor

je UP car je ne vois pas d'où viens ce problème de bash

postfix start lance postfix-script qui est un script sh, donc je comprends qu'il en ai besoin, mais je ne vois pas pourquoi après il reste en environnement chrooté. C'est assez gênant au démarrage

bobor

je ne dois plus être très loin pour postfix. Mais lorsque je lance
chroot /chroot/postfix `/usr/sbin/postfix start`
il me lance un bash après avoir lancé postfix.

Si je ne mets pas bash dans l'environnement chrooté, il lance postfix et fais une erreur car bash ne peyt ^tre trouvé. Mais postfix semble bien lancé (je n'ai pas encore fais les tests)

bobor

âr contre je ne trouve dans le man fstab comment monter en bind au démarrage.

Qq'un sait?

asphro

axey a écrit a écrit :

Bein si tu fais par exemple :

mount --bind /var/spool/mail /home/toto

Tout le contenu de /var/spool/mail sera aussi visible dans /home/toto . Un meme repertoire peut etre monte en 300 endroits differents si necessaire.

--move ca deplace l'endroit ou un repertoire est visible.

mount --move /var/spool/mail /home/toto

Ca fait qu'on ne voit plus rien dans /var/spool/mail : tout son contenu devient visible dans /home/toto . C'est 100% atomique (contrairement a un 'mv' sur des partitions distinctes), et ca n'ecrit rien sur disque dur.

Sous BSD c'est mount_null .

ok ok merci pour l explication :jap:

je connaissais pas du tout !!!

axey

Bein si tu fais par exemple :

mount --bind /var/spool/mail /home/toto

Tout le contenu de /var/spool/mail sera aussi visible dans /home/toto . Un meme repertoire peut etre monte en 300 endroits differents si necessaire.

--move ca deplace l'endroit ou un repertoire est visible.

mount --move /var/spool/mail /home/toto

Ca fait qu'on ne voit plus rien dans /var/spool/mail : tout son contenu devient visible dans /home/toto . C'est 100% atomique (contrairement a un 'mv' sur des partitions distinctes), et ca n'ecrit rien sur disque dur.

Sous BSD c'est mount_null .

bobor

ça permet de monter une partition (ou un répertoire) à plusieurs endroit.

ici il suffit de faire
mount --bind /var/spool/mail /chroot/postfix/var/spool/mail

et le répertoire ezst monté aux 2 endroits.

Donc en faisant de même avec le serveur pop, il est possible de les chrooter séparément.

asphro

je comprend pas les option bind et move a mount ca fais koi exactement ?

bobor

effectivement ça marche :D

bon je devrais pouvoir m'ensortir avec ça donc. Merci!

axey	/var/spool/mail n'a pas besoin d'etre sur une partition separee. mount --bind et mount --move ca marche sur n'importe quel repertoire.

bobor

je ne crois pas que les liens symbnoliques fonctionnent à travers un chroot. C'est bien le problème des liens symboliques sous proftpd avec defaultroot activé.

De plus, j'ai l'intention de mettre /var et /chroot sur des partitions différentes. Encore un obstacle au lien symbolique.

J'ai pensé au mount -o bind mais il faudrait que je crée une partition pour /var/spool/mail, ce qui est un peu lourd.

La seule solution semble effectivement de chrooter ensemble ces 2 services.

asphro

ln -s /chroot/postfix/var/spool/ /var/spool

pour ma par j ai prefere chrooter courrier-imap avec postfix !!

bobor

bon maintenat je m'attaque à postfix. Question pour démarrer: si postfix est chrooté, il va mettre les mails dans /chroot/postfix/var/spool/mail. Le serveur pop ne trouvera donc pas les mails. Dois-je chrooter le serveur pop avec postfix, ou y a-t-il une astuce?

asphro

bobor a écrit a écrit :

bon ça y est tout marche!! (avec xinetd!):D

merci de ta collaboration.

une petite question pour optimiser le tout. J'ai lu sur le net qu'il valait mieux mettre tous les fichiers qui ne changent pas en root. A priori je prèfèrerais les mettre sous un user comme ftp, même les librairies (sachant que le user ftp n'aura pas accès au ftp). Car si quelqu'un arrive à s'introduire dans l'environnement chrooté je préfère qu'il execute des commandes sous le nom ftp que root.

Qu'en penses-tu?

Je peux tout mettre sous ftp sauf etc que je laisserai en root. Et ne donner aucun droit à "tous" (quelque chose comme rwxr-x---)

ben au tu laisse tout en root et ton daeomon en ftp

tant qu il peut lire les librairies !!!
et tout autre fichier de config etc ...

bobor

bon ça y est tout marche!! (avec xinetd!):D

merci de ta collaboration.

une petite question pour optimiser le tout. J'ai lu sur le net qu'il valait mieux mettre tous les fichiers qui ne changent pas en root. A priori je prèfèrerais les mettre sous un user comme ftp, même les librairies (sachant que le user ftp n'aura pas accès au ftp). Car si quelqu'un arrive à s'introduire dans l'environnement chrooté je préfère qu'il execute des commandes sous le nom ftp que root.

Qu'en penses-tu?

Je peux tout mettre sous ftp sauf etc que je laisserai en root. Et ne donner aucun droit à "tous" (quelque chose comme rwxr-x---)

asphro

tu peut po le mettre en standlone non !?

bobor

bon à priori c'était ça... :D merci!

ce n'est pas fini pour autant. Il est actuellement configuré en mode inetd, et donc lancé depuis xinetd. Mais là il me met connection refused d'office.
Que dois-je mettre dans host.allow sachant que la commande que je lance depuis xinetd est
'/usr/bin/chroot /chroot/proftpd /usr/sbin/proftpd'

car je pense que le roblème vient de là

asphro

bobor a écrit a écrit :

j'ai mis libresolv mais pas libnss. Je crois que libnss est pour nsswitch donc openldap. Moi j'utilise pam.
Ceci dity je vais quand même essayé :D

Sinon j'ai fait l'essai de chrooter ma partition mandrake l'accès au serveur dns se fait bien, donc c'est juste une histoire de réolsution et de librairie...

non libnss n est pas que pour ca regarde bien y a libnss_dns*
libnss_files* etc ..

bobor

j'ai mis libresolv mais pas libnss. Je crois que libnss est pour nsswitch donc openldap. Moi j'utilise pam.
Ceci dity je vais quand même essayé :D

Sinon j'ai fait l'essai de chrooter ma partition mandrake l'accès au serveur dns se fait bien, donc c'est juste une histoire de réolsution et de librairie...

asphro

moi mon serveur dns est pas chrooté dans la meme racine et ca marche !!

a mon avis t as du oublié libresolv* ou libnss*

bobor

bon ça y est j'ai troiuvé la couille qui merdait: j'avais bien mis ld-linus* mais pas /lib/ld*!

Je ne suis plus très loin du but. Maintenant j'ai un problème avec la résolution de nom. J'ai bien mis hosts et resolv.conf dans l'environnement chrooté mais il ne parviens pas à résoudre les noms. Le serveur DNS est chrooté sur la même machine.

une idée?

asphro

non c est que t as oublié des fichiers ou librairies !!

moi j avais oublié libber.*

il ma dis qu il ne pouvait pas la charger car elle n existé pas !!

stou !!!

bobor

j'ai à peu près la même chose en dehors des libs mysql et openldap.

j'ai essayé avec:
chroot /chroot/proftpd/ /usr/sbin/in.proftpd
il me dit (configuration en standalone):
chroot cannot execute /usr/sbin/in.proftpd:no such file or directory

et j'ai essayé la même commande dans xinetd.d (configuration type inetd) et là il me met connection refused avant que je fasse quoique ce soit.

j'utilise les utilisateurs locaux. Dois-je rajouter autre chose pour pam???

asphro

17 min chrono

est voila ca marche en base po encore essayer avec ldap mais avec /etc/password ca marche

listing qui se trouve dans /chroot/proftpd

.:
total 1
drwxr-xr-x 3 root root 336 Aug 30 20:11 etc/
drwxr-xr-x 2 root root 1216 Aug 30 20:12 lib/
drwxr-xr-x 4 root root 96 Aug 30 19:59 usr/

./etc:
total 36
-rw-r--r-- 1 root root 542 Aug 24 06:01 group
-rw-r--r-- 1 root root 27 Aug 30 20:11 host.conf
-rw-r--r-- 1 root root 626 Aug 30 20:11 hosts
-rw-r--r-- 1 root root 293 Aug 30 20:11 hosts.allow
-rw-r--r-- 1 root root 296 Aug 30 20:11 hosts.deny
-rw-r--r-- 1 root root 320 Aug 30 20:11 hosts.equiv
-rw-r--r-- 1 root root 1101 Aug 30 20:11 nsswitch.conf
-rw-r--r-- 1 root root 1299 Aug 24 06:03 passwd
drwxr-xr-x 2 root root 112 Jul 26 04:59 proftpd/
-rw-r--r-- 1 root root 44 Aug 30 20:10 resolv.conf

./etc/proftpd:
total 8
-rw-r--r-- 1 root root 3496 Jul 26 04:59 proftpd.conf
-rw-r--r-- 1 root root 3797 Jul 26 04:59 proftpd.conf~

./lib:
total 2061
-rwxr-xr-x 1 root root 83344 Jul 31 00:15 ld-2.2.5.so*
lrwxrwxrwx 1 root root 11 Aug 30 20:06 ld-linux.so.2 -> ld-2.2.5.so*
-rwxr-xr-x 1 root root 1237712 Jul 31 00:15 libc-2.2.5.so*
lrwxrwxrwx 1 root root 13 Aug 30 20:02 libc.so.6 -> libc-2.2.5.so*
-rwxr-xr-x 1 root root 19876 Jul 31 00:15 libcrypt-2.2.5.so*
lrwxrwxrwx 1 root root 17 Aug 30 19:59 libcrypt.so.1 -> libcrypt-2.2.5.so*
-rwxr-xr-x 1 root root 8840 Jul 31 00:15 libdl-2.2.5.so*
lrwxrwxrwx 1 root root 14 Aug 30 20:05 libdl.so.2 -> libdl-2.2.5.so*
-rwxr-xr-x 1 root root 147720 Jul 31 00:15 libm-2.2.5.so*
lrwxrwxrwx 1 root root 13 Aug 30 20:02 libm.so.6 -> libm-2.2.5.so*
-rwxr-xr-x 1 root root 9060 Jul 31 00:15 libmemusage.so*
-rwxr-xr-x 1 root root 75996 Jul 31 00:15 libnsl-2.2.5.so*
lrwxrwxrwx 1 root root 15 Aug 30 20:04 libnsl.so.1 -> libnsl-2.2.5.so*
-rwxr-xr-x 1 root root 44728 Jul 31 00:15 libnss_compat-2.2.5.so*
lrwxrwxrwx 1 root root 22 Aug 30 20:12 libnss_compat.so.2 -> libnss_compat-2.2.5.so*
-rwxr-xr-x 1 root root 18756 Jul 31 00:15 libnss_db-2.2.so*
lrwxrwxrwx 1 root root 16 Aug 30 20:12 libnss_db.so.2 -> libnss_db-2.2.so*
-rwxr-xr-x 1 root root 12812 Jul 31 00:15 libnss_dns-2.2.5.so*
lrwxrwxrwx 1 root root 19 Aug 30 20:12 libnss_dns.so.2 -> libnss_dns-2.2.5.so*
-rwxr-xr-x 1 root root 35472 Jul 31 00:15 libnss_files-2.2.5.so*
lrwxrwxrwx 1 root root 21 Aug 30 20:12 libnss_files.so.2 -> libnss_files-2.2.5.so*
-rwxr-xr-x 1 root root 14580 Jul 31 00:15 libnss_hesiod-2.2.5.so*
lrwxrwxrwx 1 root root 22 Aug 30 20:12 libnss_hesiod.so.2 -> libnss_hesiod-2.2.5.so*
-rwxr-xr-x 1 root root 212351 Aug 3 04:52 libnss_ldap-2.2.5.so*
lrwxrwxrwx 1 root root 20 Aug 30 20:12 libnss_ldap.so.2 -> libnss_ldap-2.2.5.so*
-rwxr-xr-x 1 root root 36848 Jul 31 00:15 libnss_nis-2.2.5.so*
lrwxrwxrwx 1 root root 19 Aug 30 20:12 libnss_nis.so.2 -> libnss_nis-2.2.5.so*
-rwxr-xr-x 1 root root 41480 Jul 31 00:15 libnss_nisplus-2.2.5.so*
lrwxrwxrwx 1 root root 23 Aug 30 20:12 libnss_nisplus.so.2 -> libnss_nisplus-2.2.5.so*
-rwxr-xr-x 1 root root 57820 Jul 31 00:15 libresolv-2.2.5.so*
lrwxrwxrwx 1 root root 18 Aug 30 19:59 libresolv.so.2 -> libresolv-2.2.5.so*
lrwxrwxrwx 1 root root 19 Aug 30 20:07 libtermcap.so.2 -> libtermcap.so.2.0.8*
-rwxr-xr-x 1 root root 14975 Feb 15 2002 libtermcap.so.2.0.8*

./usr:
total 1
drwxr-xr-x 2 root root 1024 Aug 30 20:10 lib/
drwxr-xr-x 4 root root 96 Aug 30 20:01 local/

./usr/lib:
total 4763
-rw-r--r-- 1 root root 1382856 Jul 30 21:27 libcrypto.a
lrwxrwxrwx 1 root root 14 Aug 30 20:04 libcrypto.so -> libcrypto.so.0*
lrwxrwxrwx 1 root root 18 Aug 30 20:04 libcrypto.so.0 -> libcrypto.so.0.9.6*
-rwxr-xr-x 1 root root 770664 Jul 30 21:27 libcrypto.so.0.9.6*
-rw-r--r-- 1 root root 266004 Aug 2 08:30 liblber.a
-rw-r--r-- 1 root root 703 Aug 2 08:30 liblber.la
lrwxrwxrwx 1 root root 17 Aug 30 20:10 liblber.so -> liblber.so.2.0.16
lrwxrwxrwx 1 root root 17 Aug 30 20:10 liblber.so.2 -> liblber.so.2.0.16
-rw-r--r-- 1 root root 126643 Aug 2 08:30 liblber.so.2.0.16
-rw-r--r-- 1 root root 556787 Jul 26 03:50 libldap.so
lrwxrwxrwx 1 root root 10 Aug 30 20:00 libldap.so.2 -> libldap.so
-rw-r--r-- 1 root root 188898 Jul 17 21:03 libmysqlclient.a
-rwxr-xr-x 1 root root 721 Jul 17 21:03 libmysqlclient.la*
lrwxrwxrwx 1 root root 24 Aug 30 20:03 libmysqlclient.so -> libmysqlclient.so.10.0.0*
lrwxrwxrwx 1 root root 24 Aug 30 20:03 libmysqlclient.so.10 -> libmysqlclient.so.10.0.0*
-rwxr-xr-x 1 root root 136233 Jul 17 21:03 libmysqlclient.so.10.0.0*
-rw-r--r-- 1 root root 259078 Jul 30 21:27 libssl.a
lrwxrwxrwx 1 root root 11 Aug 30 20:03 libssl.so -> libssl.so.0*
lrwxrwxrwx 1 root root 15 Aug 30 20:03 libssl.so.0 -> libssl.so.0.9.6*
-rwxr-xr-x 1 root root 723688 Jul 30 21:27 libssl.so.0.9.6*
-rwxr-xr-x 1 root root 125848 Jun 6 00:39 libssl3.so*
-rwxr-xr-x 1 root root 65426 Mar 11 22:16 libz.a*
lrwxrwxrwx 1 root root 13 Aug 30 20:03 libz.so -> libz.so.1.1.4*
lrwxrwxrwx 1 root root 13 Aug 30 20:03 libz.so.1 -> libz.so.1.1.4*
-rwxr-xr-x 1 root root 55668 Mar 11 22:17 libz.so.1.1.4*
-rw-r--r-- 1 root root 92962 May 29 04:10 libzvt.a
-rwxr-xr-x 1 root root 693 May 29 04:10 libzvt.la*
lrwxrwxrwx 1 root root 15 Aug 30 20:03 libzvt.so -> libzvt.so.2.3.0*
lrwxrwxrwx 1 root root 15 Aug 30 20:03 libzvt.so.2 -> libzvt.so.2.3.0*
-rwxr-xr-x 1 root root 86216 May 29 04:13 libzvt.so.2.3.0*

./usr/local:
total 0
drwxr-xr-x 3 root root 72 Aug 30 20:01 openldap/
drwxr-xr-x 5 root root 120 Aug 30 19:56 proftpd/

./usr/local/openldap:
total 0
drwxr-xr-x 2 root root 216 Aug 30 20:05 lib/

./usr/local/openldap/lib:
total 388
-rw-r--r-- 1 root root 266004 Aug 2 08:30 liblber.a
-rw-r--r-- 1 root root 703 Aug 2 08:30 liblber.la
lrwxrwxrwx 1 root root 17 Aug 30 20:05 liblber.so -> liblber.so.2.0.16
lrwxrwxrwx 1 root root 17 Aug 30 20:05 liblber.so.2 -> liblber.so.2.0.16
-rw-r--r-- 1 root root 126643 Aug 2 08:30 liblber.so.2.0.16

./usr/local/proftpd:
total 0
drwxr-xr-x 2 root root 96 Jul 26 04:29 bin/
drwxr-xr-x 2 root root 128 Jul 26 04:29 sbin/
drwxr-xr-x 3 root root 104 Aug 30 20:12 var/

./usr/local/proftpd/bin:
total 48
-rwxr-xr-x 1 root root 23348 Jul 26 04:29 ftpcount*
-rwxr-xr-x 1 root root 23348 Jul 26 04:29 ftpwho*

./usr/local/proftpd/sbin:
total 312
-rwxr-xr-x 1 root root 6004 Jul 26 04:29 ftpshut*
lrwxrwxrwx 1 root root 7 Aug 30 19:57 in.proftpd -> proftpd*
-rwxr-xr-x 1 root root 310524 Jul 26 04:29 proftpd*

./usr/local/proftpd/var:
total 4
drwxr-xr-x 2 root root 48 Jul 26 04:47 proftpd/
-rw-r--r-- 1 root ftp 5 Aug 30 20:12 proftpd.pid

./usr/local/proftpd/var/proftpd:
total 0

bobor

bon j'ai essayé plein de trucs, rien à faire, toujours le même message: no such file or directory.

Est-ce que je dois refaire un ldd dans l'environnement chrooté? Comment?

Pour l'instant j'ai mis toutes les librairies liées à proftpd dans /chroot/proftpd/lib (elloes étaient dans /lib à l'origine), les programmes de proftpd dans leurs répertoires respectifs (/chroot/proftp/usr/sbin et bin), les fichiers de conf, /etcgroup et passwd ainsi que le répertoire pam.d

je ne vois pas quoi mettre d'autre. HELP please...

bobor

bon bah pour l'instant ça ch... /usr/sbin/proftpd: no such file or directory
après un chroot /chroot/proftpd /usr/sbin/proftpd

asphro

bobor a écrit a écrit :

il vaut mieux utiliser rsync ou ln (pas symbolique)?

moi j utilise rsync -a
car j vu faire comme ca dans un howto sur linuxfocus !!

bobor

il vaut mieux utiliser rsync ou ln (pas symbolique)?

asphro

bobor a écrit a écrit :

quelle est la commande pour connaitre les librairies dont il a besoin?

Tu arrives à chrooter mysql et apache et faire du php?

si tu as un lien également pour chrooter postfix je suis interessé! :D

avec ldd et connaissance où est installer koa !!

houplaboom42

ldd

bobor

quelle est la commande pour connaitre les librairies dont il a besoin?

Tu arrives à chrooter mysql et apache et faire du php?

si tu as un lien également pour chrooter postfix je suis interessé! :D

asphro

en lui chrootant aussi les librairies qu ila besoin !!

avec pour outil seul ldd
cp -a et rsync -a

j ai chrooté

postfix
courrier-imap
apache + tous c modules (rnfin normale koa)
mysql
bind

mais pas pureftpd !!!

pkoi !!!

parce j ai po pensé que je pouvais ne lancé 2 un en local sur un autre port, un pour l exterieur !!

mais vais le faire je viens dy penser !!

bobor

comment? :D

asphro

oui !!!

bobor

je suis sous gentoo et je souhaiterais chrooter proftpd, pas seulement les répertoires disponibles mais le serveur lui-même.

seulement lorsque je fais emerge proftpd --emptytree --pretend, les dépendances sont énormes: perl, groof, gettext, pam...

Je me demande alors si c'est possible? :D