Services Réseau SSH. Michaël Hauspie. Licence Professionnelle Réseaux et Télécommunications

Transcription

1 Services Réseau SSH Michaël Hauspie Licence Professionnelle Réseaux et Télécommunications

2 On ne configure pas un serveur en travaillant physiquement dessus Salle serveur climatisée, bruyante Data center délocalisé Souvent plusieurs serveurs différents SSH

3 SSH Anciennement Telnet, protocole de connexion à une machine utilise le port 23 $ telnet kwak.lifl.fr Trying Connected to kwak.lifl.fr. Escape character is '^]'. Debian GNU/Linux lenny/sid kwak login:

4 SSH Problème de telnet Communication non chiffrée Login/mot de passe peuvent être interceptés! Solution: SSH Connexion chiffrée Authentification de l'hôte SSH peut en plus servir de tunnel sécurisé Utilise le port 22

5 SSH

6 SSH

7 SSH Authentification par paire de clé Le mot de passe ne transite plus par le réseau du tout (même plus en chiffré) L'utilisateur possède une paire de clé Clé publique disponible pour tous Clé privé que seul lui est censé posséder Un mot chiffré avec la clé publique ne pourra être déchiffré qu'avec la clé privée associée Et inversement L'utilisateur donne sa clé publique au serveur une fois pour toute Lors de l'authentification, le serveur peut savoir grâce à la clé publique si le client est autorisé à se connecter

8 OpenSSH Implémentation de SSH Connexion ssh Génération de paire de clé ssh-keygen [-t <rsa dsa>] Répertoire ${HOME}/.ssh fichier id_rsa : clé privé fichier id_rsa.pub: clé publique fichier known_hosts: machine sur lesquels l'utilisateur s'est déjà connecté authorized_keys : fichier listant les clés publiques avec lesquels l'utilisateur est autorisé à se connecter

9 OpenSSH /etc/ssh/ssh_config Configuration du client ssh /etc/ssh/sshd_config Configuration du serveur ssh /etc/ssh/ssh_host_(dsa rsa)_key Clé privé (dsa ou rsa) du serveur /etc/ssh/ssh_host_(dsa rsa)_key Clé publique (dsa ou rsa) du serveur

10 Quelques paramètres serveur /etc/ssh/sshd_config Port 22 Port d'écoute (22 par défaut) Protocol 2 SSH version 1 ou version 2 HostKey /etc/ssh/ssh_host_rsa_key Fichier contenant la clé privé PermitRootLogin yes Autoriser ou non le login du root en distant PasswordAuthentication yes Autoriser ou non l'utilisation de mot de passe Si non, uniquement par paire de clé

11 OpenSSH scp copie de fichiers par tunnel sécurisé scp fichier_source fichier_destination Les fichiers sont donnés sous la forme Exemple scp scp titi

12 OpenSSH Création de tunnel chiffré option -L de ssh ssh -L 8080:bruyere.lifl.fr:443 Ouvre un tunnel du port local 8080 au port 443 de la machine bruyere.lifl.fr

13 Services Réseau FTP Michaël Hauspie Licence Professionnelle Réseaux et Télécommunications

14 File Transfert Protocol Permet le transfert de fichier entre machines Décrit par la RFC 959 FTP

15 FTP Utilise deux ports Un port de contrôle, le port 21 Le client envoie des commandes au serveur sur ce port Un port de données, négocié dynamiquement entre le client et le serveur

16 FTP Client Port 21 Port de données Serveur Séquence de commande classique 220 Message de bienvenue du serveur USER hauspie 331 User hauspie OK. Password required PASS tralala7 230 Your bandwidth usage is restricted 230 OK. current restricted directory is / PASV 227 Entering Passive Mode (134,206,11,14,117,48) LIST 150 Accepted data connection 226-Options: -l matches total

17 FTP Le port de données peut être ouvert de deux façon La machine cliente fait office de serveur auquel la machine hébergeant le serveur FTP va se connecter Commande PORT h1,h2,h3,h4,p1,p2 h1..h2 sont les 4 octets de l'adresse IP p1 et p2 sont les deux octets du port (pour l'obtenir numériquement il faut faire p1*256 + p2) L'inverse Commande PASV Le serveur répond avec 227 Entering Passive Mode (h1,h2,h3,h4,p1,p2)

18 FTP Liste de commandes Ne nécessitant pas de port de données USER : donner le login PASS : donner le mot de passe PASV : passer en mode passif PORT : passer en mode actif CWD : changer de répertoire (sur le serveur) CDUP : retourner au répertoire précédent QUIT : se déconnecter TYPE : définit le type de donner à transférer (binaire ou ascii)

19 FTP Liste de commandes Nécéssitant l'établissement d'un port de données LIST : demander la liste des fichiers RETR : Obtenir un fichier du serveur STOR : Envoyer un fichier au serveur DELE : supprimer un fichier

20 Implémentation de FTP Beaucoup d'implémentations concurrentes proftpd Très paramétrable pure-ftpd Plus léger et plus sécurisé apt-cache search ftpd wc -l 29!