Installation et configuration de OpenSSH - Historique des versions

Pfoo : /* Les fichiers relatifs à openssh */

2022-08-01T18:31:14Z

Les fichiers relatifs à openssh

← Version précédente		Version du 1 août 2022 à 20:31
Ligne 60 :		Ligne 60 :
	* <code>$HOME/.ssh/authorized_keys</code> : Ce fichier contient la liste des clés publiques (RSA, DSA) qui peuvent être utilisés pour se connecter avec le compte correspondant à $HOME.		* <code>$HOME/.ssh/authorized_keys</code> : Ce fichier contient la liste des clés publiques (RSA, DSA) qui peuvent être utilisés pour se connecter avec le compte correspondant à $HOME.
	* <code>/etc/ssh/ssh_known_hosts</code> et <code>$HOME/.ssh/known_hosts</code> : Ces fichiers définissent les clés des machines distantes auxquels on se connecte. Cela permet de savoir si on se connecte bien à la bonne machine distante. Lorsque vous établissez pour la première fois une connexion ssh vers une machine, ssh vous demandera s'il doit ajouter la clé à la liste. <code>/etc/ssh/ssh_known_hosts</code> doit être lisible par tous le monde, et writable uniquement pas root.		* <code>/etc/ssh/ssh_known_hosts</code> et <code>$HOME/.ssh/known_hosts</code> : Ces fichiers définissent les clés des machines distantes auxquels on se connecte. Cela permet de savoir si on se connecte bien à la bonne machine distante. Lorsque vous établissez pour la première fois une connexion ssh vers une machine, ssh vous demandera s'il doit ajouter la clé à la liste. <code>/etc/ssh/ssh_known_hosts</code> doit être lisible par tous le monde, et writable uniquement pas root.
	* <code>/etc/nologin</code> : Lorsque ce fichier existe, personne ne peut se connecter en ssh à l'exception de root. Le contenu de ce fichier est renvoyé aux personnes essayant de se connecter. Généralement, ce fichier est créé pendant que la machine boot pour éviter que des utilisateurs ne se connectent trop tôt. Si vous avez interdit le login root, ce système peut poser de sérieux problème. Pour le désactiver, il faut commenter la ligne <code>account required pam_nologin.so</code> du fichier <code>/etc/pam.d/ssh</code>.		* <code>/etc/nologin</code> : Lorsque ce fichier existe, personne ne peut se connecter en ssh à l'exception de root. Le contenu de ce fichier est renvoyé aux personnes essayant de se connecter. Généralement, ce fichier est créé pendant que la machine boot pour éviter que des utilisateurs ne se connectent trop tôt. Si vous avez interdit le login root, ce système peut poser de sérieux problème. Pour le désactiver, ce que je déconseil, il faut commenter la ligne <code>account required pam_nologin.so</code> du fichier <code>/etc/pam.d/ssh</code>.
	* <code>/etc/hosts.allow</code>, <code>/etc/hosts.deny</code> : La liste des hosts ayant le droit/n'ayant pas le droit de se connecter. Ces fichiers ne concernent pas uniquement ssh, mais toutes les connexions ip.		* <code>/etc/hosts.allow</code>, <code>/etc/hosts.deny</code> : La liste des hosts ayant le droit/n'ayant pas le droit de se connecter. Ces fichiers ne concernent pas uniquement ssh, mais toutes les connexions ip.

Pfoo : /* Les fichiers relatifs à openssh */

2022-08-01T18:30:11Z

Les fichiers relatifs à openssh

← Version précédente		Version du 1 août 2022 à 20:30
Ligne 56 :		Ligne 56 :
	* <code>/etc/ssh/sshd_config</code> : contient la configuration pour le serveur sshd.		* <code>/etc/ssh/sshd_config</code> : contient la configuration pour le serveur sshd.
	* <code>/etc/ssh/ssh_config</code> : contient la configuration globale pour le client ssh.		* <code>/etc/ssh/ssh_config</code> : contient la configuration globale pour le client ssh.
	* <code>/etc/ssh/~~ssh_host_key</code>, <code>/etc/ssh/ssh_host_dsa_key</code>, <code>/etc/ssh/ssh_host_rsa_key~~</code> : ces fichiers contiennent les clés privés de la machine. Ils ne doivent appartenir que à root, et n'avoir des droits que pour root, sinon sshd ne démarre pas.		* <code>/etc/ssh/ssh_host_*_key</code>: ces fichiers contiennent les clés privés de la machine. Ils ne doivent appartenir que à root, et n'avoir des droits que pour root, sinon sshd ne démarre pas.
	* <code>/etc/ssh/~~ssh_host_key.pub</code>, <code>/etc/ssh/ssh_host_dsa_key.pub</code>, <code>/etc/ssh/ssh_host_rsa_key~~.pub</code> : ces fichiers contiennent les clés publiques de la machine. Ils ne doivent être accessible en écriture que par root, mais doivent être lisible par tous. Ces fichiers sont crées avec ssh-keygen.		* <code>/etc/ssh/ssh_host_*_key.pub</code> : ces fichiers contiennent les clés publiques de la machine. Ils ne doivent être accessible en écriture que par root, mais doivent être lisible par tous. Ces fichiers sont crées avec ssh-keygen.
	* <code>$HOME/.ssh/authorized_keys</code> : Ce fichier contient la liste des clés publiques (RSA, DSA) qui peuvent être utilisés pour se connecter avec le compte correspondant à $HOME.		* <code>$HOME/.ssh/authorized_keys</code> : Ce fichier contient la liste des clés publiques (RSA, DSA) qui peuvent être utilisés pour se connecter avec le compte correspondant à $HOME.
	* <code>/etc/ssh/ssh_known_hosts</code> et <code>$HOME/.ssh/known_hosts</code> : Ces fichiers définissent les clés des machines distantes auxquels on se connecte. Cela permet de savoir si on se connecte bien à la bonne machine distante. Lorsque vous établissez pour la première fois une connexion ssh vers une machine, ssh vous demandera s'il doit ajouter la clé à la liste. <code>/etc/ssh/ssh_known_hosts</code> doit être lisible par tous le monde, et writable uniquement pas root.		* <code>/etc/ssh/ssh_known_hosts</code> et <code>$HOME/.ssh/known_hosts</code> : Ces fichiers définissent les clés des machines distantes auxquels on se connecte. Cela permet de savoir si on se connecte bien à la bonne machine distante. Lorsque vous établissez pour la première fois une connexion ssh vers une machine, ssh vous demandera s'il doit ajouter la clé à la liste. <code>/etc/ssh/ssh_known_hosts</code> doit être lisible par tous le monde, et writable uniquement pas root.

Pfoo le 1 août 2022 à 18:28

2022-08-01T18:28:08Z

← Version précédente		Version du 1 août 2022 à 20:28
Ligne 11 :		Ligne 11 :
	=Installation=		=Installation=

	Utilisez ~~aptitude~~ pour installer le serveur openssh :		Utilisez apt pour installer le serveur openssh :
	<pre>~~aptitude~~ install openssh-server</pre>		<pre>apt install openssh-server</pre>

	=Modification du fichier sshd_config=		=Modification du fichier sshd_config=
Ligne 94 :		Ligne 94 :
	Si vous utilisez linux, il vous est possible d'installer une clé ssh sur le serveur afin de ne plus avoir à entrer votre mot de passe à chaque fois que vous souhaitez vous connecter au serveur.		Si vous utilisez linux, il vous est possible d'installer une clé ssh sur le serveur afin de ne plus avoir à entrer votre mot de passe à chaque fois que vous souhaitez vous connecter au serveur.
	Pour commencer, il faut installer le client OpenSSH sur VOTRE ordinateur. Si vous utilisez debian ou ubuntu :		Pour commencer, il faut installer le client OpenSSH sur VOTRE ordinateur. Si vous utilisez debian ou ubuntu :
	<pre>~~aptitude~~ install openssh-client</pre>		<pre>apt install openssh-client</pre>

	Il faut ensuite générer vos clés publique et privée :		Il faut ensuite générer vos clés publique et privée :

Pfoo : /* Automatisation du login */

2022-08-01T18:27:41Z

Automatisation du login

@@ Ligne 116 : / Ligne 116 : @@
 Désormais, si vous tapez ssh plouf@hostname, vous devrez entrer votre passphrase et non plus votre mot-de-passe.
 Si vous avez décidé de ne pas préciser de passphrase lors de la création de la clé, vous pourrez vous connecter à votre serveur sans avoir à préciser votre mot de passe ou votre passphrase. Vous pouvez sauter l'étape suivante.
 ==Utiliser plusieurs clés==

Pfoo : /* Renouveler les clés ssh du serveur */

2022-08-01T18:26:53Z

Renouveler les clés ssh du serveur

← Version précédente		Version du 1 août 2022 à 20:26
Ligne 186 :		Ligne 186 :
	ssh-keygen -f /etc/ssh/ssh_host_rsa_key -t rsa -N ''		ssh-keygen -f /etc/ssh/ssh_host_rsa_key -t rsa -N ''
	ssh-keygen -f /etc/ssh/ssh_host_dsa_key -t dsa -N ''		ssh-keygen -f /etc/ssh/ssh_host_dsa_key -t dsa -N ''
			ssh-keygen -f /etc/ssh/ssh_host_ecdsa_key -t ecdsa -N ''
			ssh-keygen -f /etc/ssh/ssh_host_ed25519_key -t ed25519 -N ''
	</pre>		</pre>

Pfoo : /* Forcer des utilisateurs à utiliser sftp */

2022-08-01T18:21:54Z

Forcer des utilisateurs à utiliser sftp

← Version précédente		Version du 1 août 2022 à 20:21
Ligne 171 :		Ligne 171 :
	* aient pour groupe primaire sftponly		* aient pour groupe primaire sftponly
	* que leurs répertoires home appartiennent à root et ne puissent être écrit par aucun autre utilisateur ou groupe.		* que leurs répertoires home appartiennent à root et ne puissent être écrit par aucun autre utilisateur ou groupe.
	Vous pouvez aussi, pour plus de sécurité, changer le shell de ces utilisateurs à <code>/bin/false</code> : <~~code~~>chsh -s /bin/false username</~~code~~>		Vous pouvez aussi, pour plus de sécurité, changer le shell de ces utilisateurs pour <code>/bin/false</code> ou <code>/usr/sbin/nologin</code> :
			<pre>
			chsh -s /bin/false username
			chsh -s /usr/sbin/nologin username
			</pre>

	=Forcer des utilisateurs aux commandes de transfert de fichiers=		=Forcer des utilisateurs aux commandes de transfert de fichiers=

Pfoo : /* Forcer des utilisateurs à utiliser sftp */

2019-02-02T19:10:33Z

Forcer des utilisateurs à utiliser sftp

← Version précédente		Version du 2 février 2019 à 21:10
Ligne 172 :		Ligne 172 :
	* que leurs répertoires home appartiennent à root et ne puissent être écrit par aucun autre utilisateur ou groupe.		* que leurs répertoires home appartiennent à root et ne puissent être écrit par aucun autre utilisateur ou groupe.
	Vous pouvez aussi, pour plus de sécurité, changer le shell de ces utilisateurs à <code>/bin/false</code> : <code>chsh -s /bin/false username</code>		Vous pouvez aussi, pour plus de sécurité, changer le shell de ces utilisateurs à <code>/bin/false</code> : <code>chsh -s /bin/false username</code>

			=Forcer des utilisateurs aux commandes de transfert de fichiers=
			Vous pouvez utiliser <code>rssh</code> qui est un shell restreint qui ne permet l'usage que des commandes scp, sftp, cvs, svnserve (Subversion) rdist et rsync.

	=Renouveler les clés ssh du serveur=		=Renouveler les clés ssh du serveur=

Pfoo : /* Génération des clés */

2019-02-02T11:45:59Z

Génération des clés

← Version précédente		Version du 2 février 2019 à 13:45
Ligne 98 :		Ligne 98 :
	Il faut ensuite générer vos clés publique et privée :		Il faut ensuite générer vos clés publique et privée :
	<pre>ssh-keygen -t rsa -b 4096</pre>		<pre>ssh-keygen -t rsa -b 4096</pre>
	Ici je génère une clé rsa de 4096 bits. D'autres algorithmes sont disponibles comme ecdsa et ed25519		Ici je génère une clé rsa de 4096 bits. D'autres algorithmes sont disponibles comme ecdsa et ed25519.<br />
	Il vous sera posé deux questions. La première vous demandera d'indiquer le chemin où les clés doivent être installés. Vous pouvez laisser le chemin proposé par défaut si vous ne souhaitez utiliser qu'un seul couple de clé. La seconde question vous demande d'entrer la passphrase qui servira à protéger la clé privé. Vous pouvez entrer une passphrase ou non, mais il est recommandé d'en entrer une par mesure de sécurité.		Il vous sera posé deux questions. La première vous demandera d'indiquer le chemin où les clés doivent être installés. Vous pouvez laisser le chemin proposé par défaut si vous ne souhaitez utiliser qu'un seul couple de clé. La seconde question vous demande d'entrer la passphrase qui servira à protéger la clé privé. Vous pouvez entrer une passphrase ou non, mais il est recommandé d'en entrer une par mesure de sécurité.
	Une fois les clés générées, il va falloir ajouter la clé publique à la liste des clés autorisées par votre serveur. Pour cela, on utilise la commande ssh-copy-id		Une fois les clés générées, il va falloir ajouter la clé publique à la liste des clés autorisées par votre serveur. Pour cela, on utilise la commande ssh-copy-id

Pfoo : /* Génération des clés */

2019-02-02T11:45:37Z

Génération des clés

← Version précédente		Version du 2 février 2019 à 13:45
Ligne 98 :		Ligne 98 :
	Il faut ensuite générer vos clés publique et privée :		Il faut ensuite générer vos clés publique et privée :
	<pre>ssh-keygen -t rsa -b 4096</pre>		<pre>ssh-keygen -t rsa -b 4096</pre>
	Ici je génère une clé rsa de 4096 bits. D'autres algorithmes sont disponibles.		Ici je génère une clé rsa de 4096 bits. D'autres algorithmes sont disponibles comme ecdsa et ed25519

	Il vous sera posé deux questions. La première vous demandera d'indiquer le chemin où les clés doivent être installés. Vous pouvez laisser le chemin proposé par défaut si vous ne souhaitez utiliser qu'un seul couple de clé. La seconde question vous demande d'entrer la passphrase qui servira à protéger la clé privé. Vous pouvez entrer une passphrase ou non, mais il est recommandé d'en entrer une par mesure de sécurité.		Il vous sera posé deux questions. La première vous demandera d'indiquer le chemin où les clés doivent être installés. Vous pouvez laisser le chemin proposé par défaut si vous ne souhaitez utiliser qu'un seul couple de clé. La seconde question vous demande d'entrer la passphrase qui servira à protéger la clé privé. Vous pouvez entrer une passphrase ou non, mais il est recommandé d'en entrer une par mesure de sécurité.
	Une fois les clés générées, il va falloir ajouter la clé publique à la liste des clés autorisées par votre serveur. Pour cela, on utilise la commande ssh-copy-id		Une fois les clés générées, il va falloir ajouter la clé publique à la liste des clés autorisées par votre serveur. Pour cela, on utilise la commande ssh-copy-id

Pfoo : /* Forcer des utilisateurs à utiliser sftp */

2019-02-02T11:41:25Z

Forcer des utilisateurs à utiliser sftp

← Version précédente		Version du 2 février 2019 à 13:41
Ligne 172 :		Ligne 172 :
	* aient pour groupe primaire sftponly		* aient pour groupe primaire sftponly
	* que leurs répertoires home appartiennent à root et ne puissent être écrit par aucun autre utilisateur ou groupe.		* que leurs répertoires home appartiennent à root et ne puissent être écrit par aucun autre utilisateur ou groupe.
	Vous pouvez aussi changer le shell de ces utilisateurs à /bin/false.		Vous pouvez aussi, pour plus de sécurité, changer le shell de ces utilisateurs à <code>/bin/false</code> : <code>chsh -s /bin/false username</code>

	=Renouveler les clés ssh du serveur=		=Renouveler les clés ssh du serveur=

Installation et configuration de OpenSSH - Historique des versions

Pfoo : /* Les fichiers relatifs à openssh */

Pfoo : /* Les fichiers relatifs à openssh */

Pfoo le 1 août 2022 à 18:28

Pfoo : /* Automatisation du login */

Pfoo : /* Renouveler les clés ssh du serveur */

Pfoo : /* Forcer des utilisateurs à utiliser sftp */

Pfoo : /* Forcer des utilisateurs à utiliser sftp */

Pfoo : /* Génération des clés */

Pfoo : /* Génération des clés */

Pfoo : /* Forcer des utilisateurs à utiliser sftp */

Pfoo : /* Les fichiers relatifs à openssh */

Pfoo : /* Les fichiers relatifs à openssh */

Pfoo : /* Automatisation du login */

Pfoo : /* Renouveler les clés ssh du serveur */

Pfoo : /* Forcer des utilisateurs à utiliser sftp */

Pfoo : /* Forcer des utilisateurs à utiliser sftp */

Pfoo : /* Génération des clés */

Pfoo : /* Génération des clés */

Pfoo : /* Forcer des utilisateurs à utiliser sftp */