Problemas con SFTP

uestala · #1 (**permalink**) 24/10/2012, 11:39

Buenas tardes,

tengo un problema que no puedo resolver.
Quería habilitar el protocolo sftp en el puerto 22 para conexiones seguras. Todo me funcionaba correctamente al cambiarle una linea en la configuración del archivo: /etc/ssh/sshd_config

Pero mi versión de OpenSSH era el 4.3p2 y no me daba la posibilidad de encapsular a los usuarios en un directorio concreto. Ya que no había una versión más actual en los repositorios, lo tuve que actualizar manualmente.

Ahora, la versión que tengo es el 5.2p1 en un Centos 5.8

Aunque copie exactamente como tenía antes el archivo de configuración de sshd, no se me conecta. Este es mi archivo de configuración, a ver si alguien me puede echar una mano:

Código HTML:

#       $OpenBSD: sshd_config,v 1.73 2005/12/06 22:38:28 reyk Exp $

# This is the sshd server system-wide configuration file.  See
# sshd_config(5) for more information.

# This sshd was compiled with PATH=/usr/local/bin:/bin:/usr/bin

# The strategy used for options in the default sshd_config shipped with
# OpenSSH is to specify options with their default value where
# possible, but leave them commented.  Uncommented options change a
# default value.

Port 22
#Protocol 2,1
Protocol 2
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::

# HostKey for protocol version 1
#HostKey /etc/ssh/ssh_host_key
# HostKeys for protocol version 2
#HostKey /etc/ssh/ssh_host_rsa_key
#HostKey /etc/ssh/ssh_host_dsa_key

# Lifetime and size of ephemeral version 1 server key
#KeyRegenerationInterval 1h
#ServerKeyBits 768

# Logging
# obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH
#SyslogFacility AUTHPRIV
#LogLevel INFO

# Authentication:

#LoginGraceTime 2m
#PermitRootLogin yes
#PermitRootLogin no
#StrictModes yes
#MaxAuthTries 6

#RSAAuthentication yes
RSAAuthentication no
#PubkeyAuthentication yes
#AuthorizedKeysFile     .ssh/authorized_keys

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
#RhostsRSAAuthentication no
# similar for protocol version 2
#HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
# RhostsRSAAuthentication and HostbasedAuthentication
#IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
#IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
#PasswordAuthentication yes
#PermitEmptyPasswords no
PasswordAuthentication yes

# Change to no to disable s/key passwords
#ChallengeResponseAuthentication yes
#ChallengeResponseAuthentication no

# Kerberos options
#KerberosAuthentication no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
#GSSAPIAuthentication yes
# To disable tunneled clear text passwords, change to no here!
#PasswordAuthentication yes
#PermitEmptyPasswords no
PasswordAuthentication yes

# Change to no to disable s/key passwords
#ChallengeResponseAuthentication yes
#ChallengeResponseAuthentication no

# Kerberos options
#KerberosAuthentication no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
#GSSAPIAuthentication yes
#GSSAPICleanupCredentials yes
GSSAPICleanupCredentials no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication mechanism.
# Depending on your PAM configuration, this may bypass the setting of
# PasswordAuthentication, PermitEmptyPasswords, and
# "PermitRootLogin without-password". If you just want the PAM account and
# session checks to run without PAM authentication, then enable this but set
# ChallengeResponseAuthentication=no
#UsePAM no
#UsePAM yes

# Accept locale-related environment variables
AcceptEnv LANG LANGUAGE LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL
#AllowTcpForwarding yes
#GatewayPorts no
#X11Forwarding no
#X11Forwarding yes
#X11DisplayOffset 10
#X11UseLocalhost yes
#PrintMotd yes
#PrintMotd no
#PrintLastLog yes
#TCPKeepAlive yes
#UseLogin no
#UsePrivilegeSeparation yes
#PermitUserEnvironment no
#Compression delayed
#ClientAliveInterval 0
#ClientAliveCountMax 3
#ShowPatchLevel no
#UseDNS yes
#PidFile /var/run/sshd.pid
#MaxStartups 10
#PermitTunnel no
#ChrootDirectory none
AllowUsers usr_aega root usuario
#AllowGroups sftpusers

# no default banner path
#Banner /some/path

# override default of no subsystems
# Subsystem     sftp    /usr/libexec/openssh/sftp-server
Subsystem       sftp    internal-sftp

#UsePAM yes
Match User usr_aega
ChrootDirectory /home/usuario1
ForceCommand internal-sftp
AllowTCPForwarding no
X11Forwarding no

#Match Group sftpusers
#       ChrootDirectory /sftp/usr_aega
#       ForceCommand internal-sftp
#       AllowTcpForwarding no

Gracias.

uestala · #2 (**permalink**) 29/10/2012, 14:40

Nadie puede ayudarme?

marmota83 · #3 (**permalink**) 30/10/2012, 12:33

Hola uestala,

No creo que haya sido nada bueno que copiaras lo mismo de la configuración que te funcionaba antes, ya que al ser versiones diferentes deben tener parámetros y/o variables distintas las cuales intuyo que no deben coincidir en los dos archivos, mi recomendaciones es que reinstales y dejes el archivo de configuración que queda en la version mas reciente y a partir de el hacer cambios mas no copiar y pegar el anterior.

ahora bien para poder tener una idea de que pueda estar pasando es necesario saber:

Inicia el servicio?
Arroja algún error al iniciar?

uestala · #4 (**permalink**) 31/10/2012, 01:35

Gracias por responder! :)

En realidad no es que haya copiado el archivo de configuración literalmente, si no que he habilitado y deshabilitado las opciones que coincidian en los dos archivos de configuración. En realidad, todas las propiedades que aparecen en este archivo eran los que estaban en el archivo al instalarlo.

Por lo demás, puedo parar e iniciar el servicio sin ningún problema y no me da ningún error. Cuando intento conectarme desde consola por ssh al puerto 22, que es el que tengo configurado en este archivo, me da el siguiente error:

Código:

buffer_get_ret: trying to get more bytes 4 than in buffer 0
buffer_get_int: buffer error

Si me intento conectar con el programa Filezilla, el error es el siguiente:

Código:

Error:	La autenticación falló.
Error:	Error crítico
Error:	No se pudo conectar al servidor

El usuario existe. Y el password con el que le intento autenticar es el del usuario Unix.

marmota83 · #5 (**permalink**) 31/10/2012, 12:24

Hola uestala

Haz intentado conectarte desde el mismo server?

sftp -oPort=22 root@localhost

Si es así te deja conectarte o te da algún error?, estas intentando desde fuera del server? se puede escuchar el puerto?

uestala · #6 (**permalink**) 03/11/2012, 12:39

Buenas, marmota83!

El error que me da con el comando que me has sugerido ejecutándolo en el mismo servidor es el siguiente:

Código:

[root@localhost ~]# sftp -oPort 22 root@localhost
Connecting to 22...
command-line line 0: Missing argument.
Couldn't read packet: Connection reset by peer

Viendo el estado del puerto:

Código:

[root@localhost ~]# netstat -lnp | grep 22
tcp        0      0 0.0.0.0:22                  0.0.0.0:*                   LIST         EN      1047/sshd
tcp        0      0 :::22                       :::*                        LIST         EN      1047/sshd
unix  2      [ ACC ]     STREAM     LISTENING     12285  4035/gam_server     @/t         mp/fam-root-
unix  2      [ ACC ]     STREAM     LISTENING     11122  3583/master         pri         vate/ifmail

Gracias!

uestala · #7 (**permalink**) 07/11/2012, 10:31

marmota83, alguna idea?

uestala · #8 (**permalink**) 12/11/2012, 06:34

Para más información, he modificado el Match Users a root y ahora me deja conectarme por SFTP con el usuario root.
Obviamente, a mi cliente no le voy a dar la clave root, pero me gustaría saber porque con un usuario UNIX normal no me deja conectarme por SFTP y con el root sí.
En AllowUsers tengo los dos usuarios, tanto el usuario del cliente como el del root.

La nueva configuracion es la siguiente:

Cita:

# $OpenBSD: sshd_config,v 1.73 2005/12/06 22:38:28 reyk Exp $

# This is the sshd server system-wide configuration file. See
# sshd_config(5) for more information.

# This sshd was compiled with PATH=/usr/local/bin:/bin:/usr/bin

# The strategy used for options in the default sshd_config shipped with
# OpenSSH is to specify options with their default value where
# possible, but leave them commented. Uncommented options change a
# default value.

Port 22
#Protocol 2,1
Protocol 2
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::

# HostKey for protocol version 1
#HostKey /etc/ssh/ssh_host_key
# HostKeys for protocol version 2
#HostKey /etc/ssh/ssh_host_rsa_key
#HostKey /etc/ssh/ssh_host_dsa_key

# Lifetime and size of ephemeral version 1 server key
#KeyRegenerationInterval 1h
#ServerKeyBits 768

# Logging
# obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH
SyslogFacility AUTHPRIV
#LogLevel INFO

# Authentication:

#LoginGraceTime 2m
#PermitRootLogin yes
#PermitRootLogin no
#StrictModes yes
#MaxAuthTries 6

#RSAAuthentication yes
#RSAAuthentication no
#PubkeyAuthentication yes
#AuthorizedKeysFile .ssh/authorized_keys

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
#RhostsRSAAuthentication no
# similar for protocol version 2
#HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
# RhostsRSAAuthentication and HostbasedAuthentication
#IgnoreUserKnownHosts yes
# Don't read the user's ~/.rhosts and ~/.shosts files
# Don't read the user's ~/.rhosts and ~/.shosts files
#IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
#PasswordAuthentication yes
#PermitEmptyPasswords no
PasswordAuthentication yes

# Change to no to disable s/key passwords
#ChallengeResponseAuthentication yes
ChallengeResponseAuthentication no

# Kerberos options
#KerberosAuthentication no
#KerberosOrLocalPasswd no
#KerberosTicketCleanup no
#KerberosGetAFSToken no

# GSSAPI options
#GSSAPIAuthentication no
GSSAPIAuthentication yes
GSSAPICleanupCredentials yes
#GSSAPICleanupCredentials no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication mechanism.
# Depending on your PAM configuration, this may bypass the setting of
# PasswordAuthentication, PermitEmptyPasswords, and
# "PermitRootLogin without-password". If you just want the PAM account and
# session checks to run without PAM authentication, then enable this but set
# ChallengeResponseAuthentication=no
#UsePAM no
#UsePAM yes

# Accept locale-related environment variables
AcceptEnv LANG LANGUAGE LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL
#AllowTcpForwarding yes
#GatewayPorts no
#X11Forwarding no
#X11Forwarding yes
#X11DisplayOffset 10
#X11UseLocalhost yes
#PrintMotd yes
#PrintMotd no
#PrintLastLog yes
#TCPKeepAlive yes
#UseLogin no
#UsePrivilegeSeparation yes
#PermitUserEnvironment no
#Compression delayed
#ClientAliveInterval 0
#ClientAliveCountMax 3
#ShowPatchLevel no
#UseDNS yes
#PidFile /var/run/sshd.pid
#MaxStartups 10
#PermitTunnel no
#ChrootDirectory none
AllowUsers root usr_aega
#AllowGroups sftpusers

# no default banner path
#Banner /some/path

# override default of no subsystems
# Subsystem sftp /usr/libexec/openssh/sftp-server
Subsystem sftp internal-sftp

#UsePAM yes
Match User usr_aega
ChrootDirectory /sftp/usr_aega
ForceCommand internal-sftp
#AllowTCPForwarding no
#X11Forwarding no

#Match Group sftpusers
# ChrootDirectory /sftp/usr_aega
# ForceCommand internal-sftp
# AllowTcpForwarding no

Gracias.

uestala · #9 (**permalink**) 14/11/2012, 01:20

Debugeando ssh:

Cita:

[root@localhost ~]# ssh -vvv localhost uptime
OpenSSH_5.2p1, OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008
debug1: Reading configuration data /etc/ssh/ssh_config
debug2: ssh_connect: needpriv 0
debug1: Connecting to localhost [127.0.0.1] port 22.
debug1: Connection established.
debug1: permanently_set_uid: 0/0
debug1: identity file /root/.ssh/identity type 0
debug3: Not a RSA1 key file /root/.ssh/id_rsa.
debug2: key_type_from_name: unknown key type '-----BEGIN'
debug3: key_read: missing keytype
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug2: key_type_from_name: unknown key type '-----END'
debug3: key_read: missing keytype
buffer_get_ret: trying to get more bytes 4 than in buffer 0
buffer_get_int: buffer error

Alguna idea?