[Comm] Dial-in users. Authentification!!

[Comm] Dial-in users. Authentification!!

[Valery Glukhov]

Добрый день!
Вопрос такой: как разделить входящих пользователей через модемное соединение на идентифицированных и на неидентифированных. Т.е. часть юзеров должна входить под зарегистрированным логином и паролем через тот же модемный пул, через который остальные логинятся в систему по беспарольному способу. Это можно как-нибудь сделать?

chap-secrets и pap-secrets пустые

$ options
lock
asyncmap 0
debug

$ options.ttyS* (свой у каждого порта)
lock
login
noauth
netmask 255.255.255.0
modem
crtscts
mtu 1500
192.168.1.1:192.168.1.* (у каждого модема свой)
ms-dns 192.168.1.1

$ ppplogin
#!/bin/sh
mesg n
tty -echo
/usr/sbin/pppd silent auth +сhap -pap login

$ login.config
/AutoPPP/ -	a_ppp	/etc/ppp/ppplogin

С уважением,
Валерий Глухов

Re: [Comm] Dial-in users. Authentification!!

[ASA]

Hello Valery,

Tuesday, January 21, 2003, 12:57:59 PM, you wrote:

VG> Добрый   день!   Вопрос   такой:   как   разделить  входящих
VG> пользователей      через      модемное     соединение     на
VG> идентифицированных   и  на  неидентифированных.  Т.е.  часть
VG> юзеров  должна  входить  под  зарегистрированным  логином  и
VG> паролем  через  тот же модемный пул, через который остальные
VG> логинятся  в  систему  по  беспарольному  способу. Это можно
VG> как-нибудь сделать?
imho нет. Либо у тебя есть auth, либо нет.
посему предлагаю просто раздать публичный логин/пароль типа
guest/guest

-- 
Best regards,
 ASA                            mailto:llb@udm.ru

Re: [Comm] Dial-in users. Authentification!!

[Valery Glukhov]

On Tue, 21 Jan 2003 20:38:31 +0400
ASA <llb@udm.ru> wrote:

> Hello Valery,
> 
> Tuesday, January 21, 2003, 12:57:59 PM, you wrote:
> 
> VG> Добрый   день!   Вопрос   такой:   как   разделить  входящих
> VG> пользователей      через      модемное     соединение     на
> VG> идентифицированных   и  на  неидентифированных.  Т.е.  часть
> VG> юзеров  должна  входить  под  зарегистрированным  логином  и
> VG> паролем  через  тот же модемный пул, через который остальные
> VG> логинятся  в  систему  по  беспарольному  способу. Это можно
> VG> как-нибудь сделать?
> imho нет. Либо у тебя есть auth, либо нет.
> посему предлагаю просто раздать публичный логин/пароль типа
> guest/guest

Hi
Это можно сделать, конечно :) но не поможет в ситуации.
Вопрос возник из-за другой проблемы: На городском ftp сервере 
открыл папку для загрузки клиентами своей инфы, чтобы они могли 
меняться прогами, картинками, ... Каждый создает свои каталоги, заливает
туда свою инфу, а остальные могут взять эти файлы оттуда. Но беда в том, что
обязательно найдется член(ы), который удаляет папки других юзеров. 
Чтобы закрыть каталоги, надо юзеров, некоторых, пускать с авторизацией,
ан не получается у меня. Или возможно есть другой способ закрыть каталоги 
юзеров от удаления, который я не знаю, например средствами самого proftpd? 
Но при этом оставляя возможность владельцам заливать туда файлы, 
а остальным забирать.

С уважением,
Валерий

> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> http://www.altlinux.ru/mailman/listinfo/community
> 

Re: [Comm] Dial-in users. Authentification!!

[Amodeus]

В сообщении от 22 Январь 2003 15:43 Valery Glukhov написал:
> Hi
> Это можно сделать, конечно :) но не поможет в ситуации.
> Вопрос возник из-за другой проблемы: На городском ftp сервере
> открыл папку для загрузки клиентами своей инфы, чтобы они
> могли меняться прогами, картинками, ... Каждый создает свои
> каталоги, заливает туда свою инфу, а остальные могут взять эти
> файлы оттуда. Но беда в том, что обязательно найдется член(ы),
> который удаляет папки других юзеров. Чтобы закрыть каталоги,
> надо юзеров, некоторых, пускать с авторизацией, ан не
> получается у меня. Или возможно есть другой способ закрыть
> каталоги юзеров от удаления, который я не знаю, например
> средствами самого proftpd? Но при этом оставляя возможность
> владельцам заливать туда файлы, а остальным забирать.
А не проще ли сделать авторизацию на ftp?!
Т.е. рапределять кому что можно по логинам, с которыми юзеры 
будут коннектиться на ФТП! В роли безликого пользователя будет 
выступать пользователь anonymous! Если я правильно понял 
проблему, то это и есть решение оной!

-- 
Amodeus
Saratov Linux User Group
amodeus@pisem.net
http://saratov.lug.ru

Re: [Comm] Dial-in users. Authentification!!

[Valery Glukhov]

On Wed, 22 Jan 2003 16:14:24 +0300
Amodeus <amodeus@pisem.net> wrote:

А не проще ли сделать авторизацию на ftp?!Т.е. рапределять кому что можно по логинам, с которыми юзеры будут коннектиться на ФТП! В роли безликого пользователя будет выступать пользователь anonymous! Если я правильно понял проблему, то это и есть решение оной!

спасибо! хорошая мысль :) опробую сегодня же, результаты сообщу 

С уважением,
Валерий

Re: [Comm] Dial-in users. Authentification!!

[Valery Glukhov]

On Thu, 23 Jan 2003 09:05:47 +0200
Valery Glukhov <belpak@mail.ru> wrote:

> On Wed, 22 Jan 2003 16:14:24 +0300
> Amodeus <amodeus@pisem.net> wrote:
> 
> А не проще ли сделать авторизацию на ftp?!Т.е. рапределять кому что можно по логинам, с которыми юзеры будут коннектиться на ФТП! В роли безликого пользователя будет выступать пользователь anonymous! Если я правильно понял проблему, то это и есть решение оной!
> 
> спасибо! хорошая мысль :) опробую сегодня же, результаты сообщу 

да, все нормально, каталоги для "вандалов закрыты
только другой вопрос возникает
для юзера приходится давать шелл /bin/bash в passwd
иначе он не входит на ftp по паролю, но при этом получает доступ
в корневой каталог /*, хотя home каталог в passwd указан /var/ftp.
как можно закрыть доступ в корневой каталог /* системы ?


С уважением, 
Валерий

Re: [Comm] Dial-in users. Authentification!!

[Artem Pastukhov]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

24 Январь 2003 10:17, Valery Glukhov написал:
> On Thu, 23 Jan 2003 09:05:47 +0200
>
> Valery Glukhov <belpak@mail.ru> wrote:
> > On Wed, 22 Jan 2003 16:14:24 +0300
> > Amodeus <amodeus@pisem.net> wrote:
> >
> > А не проще ли сделать авторизацию на ftp?!Т.е. рапределять
> > кому что можно по логинам, с которыми юзеры будут
> > коннектиться на ФТП! В роли безликого пользователя будет
> > выступать пользователь anonymous! Если я правильно понял
> > проблему, то это и есть решение оной!
> >
> > спасибо! хорошая мысль :) опробую сегодня же, результаты
> > сообщу
>
> да, все нормально, каталоги для "вандалов закрыты
> только другой вопрос возникает
> для юзера приходится давать шелл /bin/bash в passwd
Есть 2 решения 
1) добавить /bin/false или /dev/null в /etc/shells
2)убрать из /etc/pam.d/(ваш ftp сервер) строку auth required 
/lib/sequrity/pam_shells.so

Первое решение мне кажется более безопасным

- -- 
 С уважением,
Артем Пастухов          past@yam.ru
 ЯМ Интернешнл         http://www.yam.ru

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.1 (GNU/Linux)

iD8DBQE+MO4Xhclao3W5F3wRAgEYAKChccAIcVmbmIcOuuv/WnclTa7GHwCeLeVx
Wg/cWC1P3xGzGCs3TJk40T4=
=dPow
-----END PGP SIGNATURE-----

Re: [Comm] Dial-in users. Authentification!!

[Valery Glukhov]

On Fri, 24 Jan 2003 10:41:07 +0300
Artem Pastukhov <past@yam.ru> wrote:

> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
> 
> 24 Январь 2003 10:17, Valery Glukhov написал:
> > On Thu, 23 Jan 2003 09:05:47 +0200
> >
> > Valery Glukhov <belpak@mail.ru> wrote:
> > > On Wed, 22 Jan 2003 16:14:24 +0300
> > > Amodeus <amodeus@pisem.net> wrote:
> > >
> > > А не проще ли сделать авторизацию на ftp?!Т.е. рапределять
> > > кому что можно по логинам, с которыми юзеры будут
> > > коннектиться на ФТП! В роли безликого пользователя будет
> > > выступать пользователь anonymous! Если я правильно понял
> > > проблему, то это и есть решение оной!
> > >
> > > спасибо! хорошая мысль :) опробую сегодня же, результаты
> > > сообщу
> >
> > да, все нормально, каталоги для "вандалов закрыты
> > только другой вопрос возникает
> > для юзера приходится давать шелл /bin/bash в passwd
> Есть 2 решения 
> 1) добавить /bin/false или /dev/null в /etc/shells
> 2)убрать из /etc/pam.d/(ваш ftp сервер) строку auth required 
> /lib/sequrity/pam_shells.so
> 
> Первое решение мне кажется более безопасным

Добрый день!
Добавил /bin/false в /etc/shells
логинятся по паролю нормально на ftp, но cd .. все равно выпускает юзеров гулять по каталогам системы
убрал строчку auth required - результат такой же
может закрыть выход из /var/ftp настройками proftpd для всех юзеров, включая авторизованных?
только как это аккуратно сделать?

С уважением,
Валерий

Re: [Comm] Dial-in users. Authentification!!

[Artem Pastukhov]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

24 Январь 2003 11:57, Valery Glukhov написал:
> > Есть 2 решения
> > 1) добавить /bin/false или /dev/null в /etc/shells
> > 2)убрать из /etc/pam.d/(ваш ftp сервер) строку auth required
> > /lib/sequrity/pam_shells.so
> >
> > Первое решение мне кажется более безопасным
>
> Добрый день!
> Добавил /bin/false в /etc/shells
> логинятся по паролю нормально на ftp, но cd .. все равно
> выпускает юзеров гулять по каталогам системы 
Посмотрите конфиг proftp на предмет chroot
- -- 
 С уважением,
Артем Пастухов          past@yam.ru
 ЯМ Интернешнл         http://www.yam.ru

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.1 (GNU/Linux)

iD8DBQE+MQHfhclao3W5F3wRAtQmAKCVeqHZ6FNzYwTd1hRzmf4eXZ+tKQCgz7i6
yIMs0eygKdSfcWVlqIuLPOk=
=GlSN
-----END PGP SIGNATURE-----

Re[2]: [Comm] Dial-in users. Authentification!!

[Половников Денис]

Здравствуйте, Valery.

Вы писали 24 января 2003 г., 11:57:50:

VG> On Fri, 24 Jan 2003 10:41:07 +0300
VG> Artem Pastukhov <past@yam.ru> wrote:

>> -----BEGIN PGP SIGNED MESSAGE-----
>> Hash: SHA1
>> 
>> 24 Январь 2003 10:17, Valery Glukhov написал:
>> > On Thu, 23 Jan 2003 09:05:47 +0200
>> >
>> > Valery Glukhov <belpak@mail.ru> wrote:
>> > > On Wed, 22 Jan 2003 16:14:24 +0300
>> > > Amodeus <amodeus@pisem.net> wrote:
>> > >
>> > > А не проще ли сделать авторизацию на ftp?!Т.е. рапределять
>> > > кому что можно по логинам, с которыми юзеры будут
>> > > коннектиться на ФТП! В роли безликого пользователя будет
>> > > выступать пользователь anonymous! Если я правильно понял
>> > > проблему, то это и есть решение оной!
>> > >
>> > > спасибо! хорошая мысль :) опробую сегодня же, результаты
>> > > сообщу
>> >
>> > да, все нормально, каталоги для "вандалов закрыты
>> > только другой вопрос возникает
>> > для юзера приходится давать шелл /bin/bash в passwd
>> Есть 2 решения 
>> 1) добавить /bin/false или /dev/null в /etc/shells
>> 2)убрать из /etc/pam.d/(ваш ftp сервер) строку auth required 
>> /lib/sequrity/pam_shells.so
>> 
>> Первое решение мне кажется более безопасным

VG> Добрый день!
VG> Добавил /bin/false в /etc/shells
VG> логинятся по паролю нормально на ftp, но cd .. все равно выпускает юзеров гулять по каталогам системы
VG> убрал строчку auth required - результат такой же
VG> может закрыть выход из /var/ftp настройками proftpd для всех юзеров, включая авторизованных?
VG> только как это аккуратно сделать?

Это решается очень просто ставиш в самом низу конфига это и никуда
далше своей папки не вылизеш :-)

DefaultRoot ~

С уважением,
 Половников Денис

Re: [Comm] Dial-in users. Authentification!!

[Maxim.Savrilov]

On Fri, 24 Jan 2003 09:17:09 +0200
Valery Glukhov <belpak@mail.ru> wrote:

> 
> да, все нормально, каталоги для "вандалов закрыты
> только другой вопрос возникает
> для юзера приходится давать шелл /bin/bash в passwd
> иначе он не входит на ftp по паролю, но при этом получает
> доступ в корневой каталог /*, хотя home каталог в passwd указан
> /var/ftp. как можно закрыть доступ в корневой каталог /*
> системы ?
> 
cat /etc/shells что?

Re: Re[2]: [Comm] Dial-in users. Authentification!!

[Valery Glukhov]

On Fri, 24 Jan 2003 12:17:10 +0300
Половников Денис <fox@transbank.ru> wrote:

> Здравствуйте, Valery.
> 
> Вы писали 24 января 2003 г., 11:57:50:
> 
> VG> On Fri, 24 Jan 2003 10:41:07 +0300
> VG> Artem Pastukhov <past@yam.ru> wrote:
> 
> >> -----BEGIN PGP SIGNED MESSAGE-----
> >> Hash: SHA1
> >> 
> >> 24 Январь 2003 10:17, Valery Glukhov написал:
> >> > On Thu, 23 Jan 2003 09:05:47 +0200
> >> >
> >> > Valery Glukhov <belpak@mail.ru> wrote:
> >> > > On Wed, 22 Jan 2003 16:14:24 +0300
> >> > > Amodeus <amodeus@pisem.net> wrote:
> >> > >
> >> > > А не проще ли сделать авторизацию на ftp?!Т.е. рапределять
> >> > > кому что можно по логинам, с которыми юзеры будут
> >> > > коннектиться на ФТП! В роли безликого пользователя будет
> >> > > выступать пользователь anonymous! Если я правильно понял
> >> > > проблему, то это и есть решение оной!
> >> > >
> >> > > спасибо! хорошая мысль :) опробую сегодня же, результаты
> >> > > сообщу
> >> >
> >> > да, все нормально, каталоги для "вандалов закрыты
> >> > только другой вопрос возникает
> >> > для юзера приходится давать шелл /bin/bash в passwd
> >> Есть 2 решения 
> >> 1) добавить /bin/false или /dev/null в /etc/shells
> >> 2)убрать из /etc/pam.d/(ваш ftp сервер) строку auth required 
> >> /lib/sequrity/pam_shells.so
> >> 
> >> Первое решение мне кажется более безопасным
> 
> VG> Добрый день!
> VG> Добавил /bin/false в /etc/shells
> VG> логинятся по паролю нормально на ftp, но cd .. все равно выпускает юзеров гулять по каталогам системы
> VG> убрал строчку auth required - результат такой же
> VG> может закрыть выход из /var/ftp настройками proftpd для всех юзеров, включая авторизованных?
> VG> только как это аккуратно сделать?
> 
> Это решается очень просто ставиш в самом низу конфига это и никуда
> далше своей папки не вылизеш :-)
> 
> DefaultRoot ~
> 
> С уважением,
>  Половников Денис

Спасибо, Денис, помогло :)
Вопрос решен, спасибо всем кто откликнулся!


С уважением,
Валерий

Re: [Comm] Dial-in users. Authentification!!

[Valery Glukhov]

On Fri, 24 Jan 2003 12:05:35 +0300
Artem Pastukhov <past@yam.ru> wrote:

> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
> 
> 24 Январь 2003 11:57, Valery Glukhov написал:
> > > Есть 2 решения
> > > 1) добавить /bin/false или /dev/null в /etc/shells
> > > 2)убрать из /etc/pam.d/(ваш ftp сервер) строку auth required
> > > /lib/sequrity/pam_shells.so
> > >
> > > Первое решение мне кажется более безопасным
> >
> > Добрый день!
> > Добавил /bin/false в /etc/shells
> > логинятся по паролю нормально на ftp, но cd .. все равно
> > выпускает юзеров гулять по каталогам системы 
> Посмотрите конфиг proftp на предмет chroot
> - -- 
>  С уважением,
> Артем Пастухов          past@yam.ru
>  ЯМ Интернешнл         http://www.yam.ru
> 
> -----BEGIN PGP SIGNATURE-----
> Version: GnuPG v1.2.1 (GNU/Linux)
> 
> iD8DBQE+MQHfhclao3W5F3wRAtQmAKCVeqHZ6FNzYwTd1hRzmf4eXZ+tKQCgz7i6
> yIMs0eygKdSfcWVlqIuLPOk=
> =GlSN
> -----END PGP SIGNATURE-----
> 
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> http://www.altlinux.ru/mailman/listinfo/community
> 
> 

ОК! Посмотрю обязательно.


С уважением,
Валерий