Re: Kernel config
On 06.Apr 2004 - 12:25:13, Elmar W. Tischhauser wrote:
> Hallo!
>
> On 05 Apr 2004 at 23:25 -0700, Andreas Pakulat wrote:
>
> > On 05.Apr 2004 - 13:47:52, Elmar W. Tischhauser wrote:
> > > Ansonsten ist FTP für alles außer das öffentliche Bereitstellen von
> > > Daten via anonymous ftp ungeeignet. Es existieren bessere Alternativen;
> > > welche für dich am besten passt, hängt davon ab, was du mit dem
> > > FTP-Server genau erreichen willst.
>
> [Debian-Server, Windows-Clients]
> > Sprich die Leute am anderen Ende ziehen sich meine Bilder und hin und
> > wieder legen die mir Murphy's Laws oder so auf den FTP (oder auch
> > wichtigeres).
>
> Vorschläge: HTTPS mit Clientzertifikaten, WebDAV over SSL, sftp/scp,
webdav, https??? ok, das erstere ermoeglicht den Upload das 2. den
Download. Aber den Kram extra aufsetzen um ein paar private Files zu
verschieben? Overkill wuerde ich sagen. sftp/scp kommt wie gesagt
nicht in Frage, da die Clients keinen Zugriff auf ein $HOME kriegen
sollen.
> rsync over ssh.
Noe, nicht komfortabel genug.
> > proftpd mit gnutls geht muesste ich nur nochmals mit den Clients
> > testen.
>
> Solang das (wie ich herauszuhören meine) nur das interne Netz betrifft,
> wäre FTP over SSL schon eher noch eine Möglichkeit, weil da sämtliche
> Probleme mit dem Firewalling wegfallen dürften, es sei denn, es sind
> gegeneinander abgeschirmte Teilnetze des LANs im Spiel.
Hmm, welche Probleme ergeben sich denn bitte wenn ich FTP/TLS nehme
und dass dann fuers I-Net bereitstelle? Also bisher klappt das (ohne
TLS) ganz gut und die Testlaeufe mit TLS gingen auch??
> Wenn Clients aber doch z.B. aus dem WAN kommen dürfen, hätte ich nicht
> die Nerven dazu; durch die Trennung von Daten- und Kontrollkanal ist FTP
> (aus Firewallsicht) an sich schon schwierig zu handhaben, der Einsatz
> von TLS macht das natürlich nicht besser.
Hmm, wieso? Ok, mein Rechner ist nicht abgeschirmt wie ein
Atombunker... Mein Router laesst ftp und ssh durch, die iptables auf
dem lokalen Rechner ebenfalls nur dass und Verbindungen die auf
bereits existierenden aufsetzen (state:RELATED,ESTABLISHED). Und
Verbindungen nach aussen hab ich nicht weiter eingeschraenkt.
> > winscp+ssh kommt nicht in die Tuete, ich will naemlich kein $HOME
> > extra dafuer anlegen und die User sollen auch keinen Zugriff auf
> > meines.
>
> Verständlich. Es gibt allerdings sowohl einen chroot-Patch für den sshd
> als auch spezielle Shells wie z.B. scponly oder rssh, welche kein
> interaktives Login erlauben. Vielleicht wäre das ja was für dich.
chroot-Patch == Selberbauen des sshd == zu viel Arbeit.
Spezielle Loginshells - ne Moeglichkeit wenn ich sehe das ftp/tls
wirklich ein Scheunentor ist.
Andreas
--
Many are called, few volunteer.
Reply to: