Point de montage sur client pour accès FTP ou SSH à SME

[arnaud056]

Bonjour,
j'aimerais que mes machines clients aient un point de montage pour accèder aux ibays ainsi qu'au "/home" de chaque user de ma SME via une liaison FTP.
Ce point de montage pourrait alors être entré dans les /etc/fstab des clients respectifs afin que le montage FTP s'effectue automatiquement à leur démarrage.
Ma SME est une 7.5.1 en server+gayteway. Mes clients sont sous Ubuntu 10.04.

Pour l'instant, j'ai essayé les choses suivantes: monter mon "/users/arnaud/home" de la SME sur /media/essai du client ubuntu.
/media/essai existe et est en lecture/écriture pour tout le monde (chmod 0777).

Méthode 1: http://doc.ubuntu-fr.org/curlftpfs
j'ai donc ajouté dans le /etc/fstab de mon client la ligne suivante

Code: Tout sélectionner

curlftpfs#arnaud:XXXX@ftp.maison/users/arnaud/home       /media/essai    fuse    rw,user,allow_other,uid=1000    0  $


A l'enregistrement du fstab et au montage du dossier, j'ai le message d'erreur suivant:

Code: Tout sélectionner

arnaud@compaq-portable:~$ sudo mount /media/essai
Error connecting to ftp: Server denied you to change to the given directory


Pourtant, mon client se connecte bien à SME avec ftp à cet endroit:

Code: Tout sélectionner

arnaud@compaq-portable:~$ ftp ftp.maison
Connected to ftp.maison.
220 192.168.2.2 FTP server ready
331 Password required for arnaud
230 User arnaud logged in
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> exit
221 Goodbye.
arnaud@compaq-portable:~$


Méthode 2: http://www.coagul.org/article.php3?id_article=466 qui est légèrement différente
Les résultats sont similaires:

Code: Tout sélectionner

arnaud@compaq-portable:~$ curlftpfs ftp://ftp.maison/users/arnaud/home /media/essai -o user=arnaud:XXXXX
Error connecting to ftp: Server denied you to change to the given directory


D'où ma question: pourquoi est-ce que SME refuse la connexion via ces méthodes?

Informations/remarques générales:
1) avec ssh http://doc.ubuntu-fr.org/sshfs#autofs cela fonctionne (point de montage dans le /etc/fstab du client), mais a) je suis obligé de me connecter en "root" à la SME et b) seul "root" du client a accès au point de montage.

2) la méthode 2) avec le fichier .netrc dans le /home de chaque user du client ubuntu est meilleure que la 1) à mon avis, car le mot de passe de chaque user n'est pas écrit en clair dans le fstab. De plus, fstab étant un fichier commun, il faudrait y mettre tous les users et tous les mots de passe. La sécurité/confidentialité ne serait donc plus assurée par SME, mais par les permissions des différents points de montage des clients.

Je pense avoir donné les infos nécessaires. Si ce n'est pas le cas, je peux rajouter ce qu'il manque!

Merci d'avance.
@+
Arnaud

[Franck78]

Hello,

quand tu te connectes sur le serveur ftp, tu pourrais vérifier dans quel dossier le serveur t'a 'laché'.
Est-ce vraiment /users/arnaud/home

Pourquoi pas avec ssh (et les certifs pour éliminer le password)?

[arnaud056]

salut,
oui, je pense être dans le bon répertoire: j'ai vérifié avec la commande pwd:

Code: Tout sélectionner

arnaud@compaq-portable:~$ ftp ftp.maison
Connected to ftp.maison.
220 192.168.2.2 FTP server ready
331 Password required for arnaud
230 User arnaud logged in
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> pwd
257 "/users/arnaud" is the current directory
ftp> cd home
250 CWD command successful
ftp> pwd
257 "/users/arnaud/home" is the current directory


Je vais réfléchir à ssh......
@+
Arnaud

[arnaud056]

salut,
voilà où j'en suis avec ssh:

- en ligne de commande:

Code: Tout sélectionner

arnaud@compaq-portable:~$ sshfs root@192.168.2.2:/home/e-smith/files/users/arnaud/home /media/essai
root@192.168.2.2's password:

Fonctionne.
L'accès du point de montage est autorisé pour un user "normal" du client.
Ce qui me chiffonne, c'est la connexion en tant que root vis à vis de la sme --> toute la sécurité dépend des permissions réglées sur le point de montage du client.

J'ai donc essayé de me connecter à sme en tant que "user":

Code: Tout sélectionner

arnaud@compaq-portable:~$ sshfs arnaud@192.168.2.2:/home/e-smith/files/users/arnaud/home /media/essai
arnaud@192.168.2.2's password:
remote host has disconnected


On dirait donc que je ne peux me connecter en "user" par ssh à la sme.


- par une entrée dans le fstab du client:

Code: Tout sélectionner

sshfs#root@192.168.2.2:/home/e-smith/files/users/arnaud/home                /media/essai          fuse            user,noauto,noatime     0 0


Fonctionne.
L'accès au point de montage n'est cependant pas autorisé pour un user "normal" du client. Seulement pour le "root" du client. Je rappelle que le point de montage est configuré en lecture+écriture pour tout le monde. Une fois monté, les autorisations sont modifiées:

Code: Tout sélectionner

arnaud@compaq-portable:/$ ls -l /media
drwxrwxrwx 2 root   users 4096 2010-12-22 18:11 essai
arnaud@compaq-portable:/$ sudo mount /media/essai
root@192.168.2.2's password:
arnaud@compaq-portable:/$ ls -l /media
ls: impossible d'accéder à /media/essai: Permission non accordée
total 4
d????????? ? ?      ?        ?                ? essai2


En me connectant en tant que"user" à sme dans le fstab:

Code: Tout sélectionner

shfs#arnaud@192.168.2.2:/home/e-smith/files/users/arnaud/home                /media/essai          fuse            user,noauto,noatime     0 0


au montage:

Code: Tout sélectionner

arnaud@compaq-portable:/$ sudo mount /media/essai
arnaud@192.168.2.2's password:
remote host has disconnected


Là aussi, on dirait que la connexion via ssh en user est refusée par sme.

La "doc" de sme indique:

4 - Accès à SME Server
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
4.1 - En local
--------------
Par défaut, seuls les comptes admin et root peuvent ouvrir une session
sur le serveur, que ce soit en local ou à distance. Ils sont tous deux
configurés avec le même mot de passe, défini lors de l'installation.

Le compte admin ouvre directement la console du serveur (cf. §3.1).

Pour qu'un utilisateur "standard" puisse se connecter, il faut lui
assigner un nouveau shell. Par exemple, pour un utilisateur toto déjà
créé, il faudrait ouvrir une session en root et taper :
db accounts setprop toto Shell /bin/bash
signal-event user-modify toto
..............................................................

4.2 - Depuis le réseau local

*) SSH (Secured SHell) : Cela permet d'ouvrir un terminal sur le serveur,
un peu comme nous l'avons vu au chapitre précédent (§3.1), sauf que
là, c'est à distance et que le transfert d'information entre les deux
machines est sécurisé (crypté en temps réel). Pour pouvoir utiliser
cette fonctionnalité, vous devrez autoriser l'accès SSH depuis le
gestionnaire du serveur, dans la page "Accès à distance" et utiliser un
client SSH pour vous connecter. Sous Windows, il existe un très bon
client SSH nommé PuTTY (gratuit, très léger et sans installation) :
http://www.chiark.greenend.org.uk/~sgtatham/putty/
Il suffit de l'exécuter, de lui indiquer le nom ou l'adresse IP du
serveur et le protocole utilisé (SSH ou port 22). Ensuite, il vous
demandera un nom d'utilisateur et son mot de passe pour pouvoir ouvrir
une session.

Le menu "accès à distance" du serveur-manager autorise seulement la connexion ssh pour l'administrateur.

--> ma questions: faut-il configurer le "user" pour un accès via ssh comme la doc indique de la faire pour un accès en local?
A le lecture de la doc, je répondrais par "oui" à cette question, mais j'aimerais avoir une confirmation avant de la faire...

@+
Arnaud
PS: pour les clés, il va encore falloir que je bouquine un peu.....
PS2: @HP: j'ai réparé un lien --> tout devrait fonctionner maintenant

[HP77]

Bonjour,

Je voudrais juste partager certains fruits de mon expérience sous SME :

- MonUser:MonPassWord@MonDomaine devrait toujours atterrir sur le dossier /home/e-smith/files/usesrs/MonUser
- Pour SSH, en utilisation avec WinSCP, si la case à cocher [ ] VPN n'est pas cochée, la connexion échouera lamentablement pour, il me semble, cette même raison "access denied"


Je n'ai jamais devinez pourquoi ( faudrait que je lise la Doc SME là-dessus... ) cette case à cocher pour le VPN a une telle influence alors que, côté configuration "PPP client", je suis toujours à la valeur 0 (par défaut).

Autre curiosité (à mon goût), l'utilisateur admin semble être le seul à ne jamais pouvoir se connecter via WinSCP. Case "VPN access" cochée ou non dans sa fiche profile SME.

Je soupçonne quelque chose lié à la configuration rssh qui semble aussi opéréer de façon à "rediriger" le Shell sur la console SME lors d'une session Shell (en direct ou via PuTTY).


"Voili, voilà" ce que je puis affirmer de part mon expérience SME.

Bonne soirée sous la neige (fondue), si vous êtes, comme moi, sur la banlieue Nord de Paris...


Cordialement,
HP


P.S.
Arnaud, pourrais-tuy corriger les liens de tes messages précédents, le système PhpBB en a fait un quelque chose de non utilisable en un seul clic de "souris"...
Merci d'avance.
HP_

[arnaud056]

- Pour SSH, en utilisation avec WinSCP, si la case à cocher [ ] VPN n'est pas cochée, la connexion échouera lamentablement pour, il me semble, cette même raison "access denied"

Salut,
merci pour le tuyau!!
Effectivement maintenant ça marche beaucoup mieux!!

Cependant restent quelques bricoles qui me chiffonnent:
Montage par /etc/fstab:

Code: Tout sélectionner

sshfs#arnaud@192.168.2.2:/home/e-smith/files/users/arnaud/home                /media/essai          fuse            user,noauto,noatime     0 0

Je ne peux accéder au point de montage en tant que "user" sur le client. En root ça marche. --> je vais jeter un coup d'œil aux paramètres d'option du fstab

Montage en ligne de commande:

Code: Tout sélectionner

arnaud@compaq-portable:~$ sshfs arnaud@192.168.2.2:/home/e-smith/files/users/arnaud/home /media/essai

--> OK, mais au montage:

Code: Tout sélectionner

arnaud@compaq-portable:~$ sudo mount /media/essai
mount : type erroné de syst .de fichiers, option erronée, super bloc
        erroné sur arnaud@192.168.2.2:/home/e-smith/files/users/arnaud/home, codepage ou aide manquante ou autre erreur
       (pour plusieurs syst. de fichiers (nfs, cifs) vous aurez
       besoin d'un programme /sbin/mount.<type> intermédiaire)
       Dans quelques cas certaines informations sont utiles dans syslog - essayez
       dmesg | tail  ou quelque chose du genre


Mais le montage est bien effectué et je peux y accéder en tant que "user".

-->si j'y accède par ce chemin mais non par le fstab, je pense que ça confirme que le "problème" est bien du côté du client. Êtes-vous d'accord?

@+
Arnaud

[HP77]

Bonsoir,

- Pour SSH, en utilisation avec WinSCP, si la case à cocher [ ] VPN n'est pas cochée, la connexion échouera lamentablement pour, il me semble, cette même raison "access denied"

Salut,
merci pour le tuyau!!
Effectivement maintenant ça marche beaucoup mieux!!

"You are Welcome!"

Bien merci à toi de nous faire part de ton retour d'expérience.
Et, en cas de succès, n'oublie pas de compléter car cela fera un bon aide-mémoire pour tout le monde, toi y-compris si ça doit se refaire dans un an ou plus tard...
(la joie et l'envie de passer à la suite font que souvent, on oublie et plus tard, on a déjà oublier un détail clef/important... )

Sur ce, bonne soirée, je retourne sous la couette avec mes "après-skis"...

Cordialement,
HP

[arnaud056]

Cependant restent quelques bricoles qui me chiffonnent:
Montage par /etc/fstab:

Code: Tout sélectionner

sshfs#arnaud@192.168.2.2:/home/e-smith/files/users/arnaud/home                /media/essai          fuse            user,noauto,noatime     0 0

Je ne peux accéder au point de montage en tant que "user" sur le client. En root ça marche. --> je vais jeter un coup d'œil aux paramètres d'option du fstab

C'était bien la source du problème...
Il faut rajouter quelques paramètres en option:
- allow_other: sinon il n'y a que root qui peut voir le point de montage
- uid=le_n°_du_user qui doit être propriétaire du point de montage une fois le montage effectué.

Voici donc ma nouvelle ligne de fstab:

Code: Tout sélectionner

sshfs#arnaud@192.168.2.2:/home/e-smith/files/ibays/musique/files                /media/essai          fuse            user,noauto,noatime,allow_other,uid=1000     0 0

[mode hors sujet]
je me sers effectivement du forum pour résumer la situation, noter des choses etc.... Et c'est lorsque j'écris les problèmes que je rencontre ou les test que j'effectue, que certaines choses me viennent alors à l'esprit, alors je les essaye. Comme quoi mettre les problèmes par écrit aide à leur résolution.....
Pour le résumé final, c'est sans problème: je vous le dois bien et comme tu l'as indiqué: quand on ne reste pas tous les jours dans le jus, on oublie vite et c'est énervant de passer une semaine à résoudre un problème dont la résolution avait déjà pris une semaine auparavant....
[/mode hors sujet]

@+
Arnaud

[arnaud056]

Bonjour,
Tout d'abord, j'espère que vous avez tous/toutes passé un bon Noël !!
Moi aussi, merci, j'ai trouvé un serveur en kit dans mes chaussons......

J'ai donc poursuivi sur la voie ssh et ai appris comment fonctionnent les clés, que la clé publique est sur le serveur, la privée sur le client etc.....:
http://fr.wikipedia.org/wiki/Cl%C3%A9_publique
http://wayofspark.com/2010/08/11/creation-et-utilisation-dune-clef-ssh/
http://www.coagul.org/spip.php?article464
etc...

Pour la création des clés, j'ai préféré la méthode "sme" http://smeserver.fr/astuces.php?astuce=net_ssh_keys plutôt que la méthode "ubuntu" http://doc.ubuntu-fr.org/ssh. J'ai transféré la clé privée dans le ~/.ssh du client. Ne pas oublier d'entrer le chemin de la clé dans la commande "ssh" pour l'accès.....(ssh -i cle_privee.rsa toto@1.2.3.4)

Pour l'accès via le fstab, je n'ai pas réussi à insérer le "-i cle_privee.rsa" dans ma ligne sabs qu'il n'y ait une erreur de syntaxe.
J'ai donc laissé la ligne suivante:

Code: Tout sélectionner

sshfs#arnaud@192.168.2.2:/home/e-smith/files/users/arnaud/home /media/SME/arnaud fuse user,noauto,noatime,allow_other,uid=1000     0 0

et j'ai donc un refus de connexion au montage car la clé n'est pas indiquée.

Pour résoudre ceci, j'ai fait appel à l'agent ssh via "ssh-add": je charge la clé dans ssh-add, ma passphrase est demandée et alors je peux monter le point de montage sans problème. Attention: pour démonter: pas de "umount" mais "fusermount -u"

J'ai également essayé le montage automatique au démarrage (option auto dans le fstab): ça me provoque une erreur avant que le user doit se loguer car le point de montage ne peut être atteint (normal, la clé n'est pas indiquée). J'avais espéré que le montage s'effectuait après le login des users.....

Donc, pour résumer la situation: ce qui ne fonctionne pas encore à ma guise:
1) à chaque nouvelle connexion, il faut que je recharge manuellement (=en ligne de commande) ssh-add avec la/les clés + passphrase.
2) il faut que je monte le point de montage manuellement.

Pour régler ceci: je pense qu'il faudrait faire un script en autostart: ssh-add, passphrase et montage. Et ça..........je ne sais pas encore le faire!!
Existe-t'il une autre solution pour charger la passphrase et monter le point automatiquement à chaque connexion?

Petite parenthèse: que les sites et forums qui "résolvent" ceci en "conseillant" de ne pas mettre de passphrase sont nombreux......

@+
Arnaud

[Franck78]

Si tu veux que 'tout' soit automatique, il faudra bien écrire la passphrase ou ne pas en avoir.

Quand à tout automatiser, un système linux lance le shell qui va bien après le login.

C'est souvent 'bash'

bash utilise un ".bashrc" dans le home du user fraichement logué. On y place tout ce qu'on veut.


Sous KDE et GNOME il y a aussi le 'porte-clé' (wallet) qui permet de stocker clés mot de passe et ce qu'on veut d'autres. Il a bien sur son mot de passe propre mais quand c'est le même que celui utilisé pour ouvrir la session utilisateur, c'est transparent.
Ensuite il doit y avoir une API assez simple pour extraire les mots de passe selon les besoins.

Franck

[arnaud056]

bonsoir,
je pense avoir bien avancé.
1) J'ai d'abord lu ceci http://doc.ubuntu-fr.org/tutoriel/script_shell pour en savoir plus sur les scripts
2) j'ai installé ssh-askpass sur le client pour qu'une jolie petite fenêtre de demande de passphrase puisse être affichée
3) j'ai écrit le script ultra-savant pour se connecter à sme par ssh en tant que user root:

Code: Tout sélectionner

#!/bin/bash
# Version de test
echo "ssh root"
ssh-add /home/arnaud/.ssh/root@sme751-ag-siemens.rsa
mount /home/arnaud/sme/root
exit 0;

J'ai délibérément choisi d'avoir les points de montage dans les /home des différents users des clients pour la raison suivante: au cas où les users A et B doivent pouvoir se connecter via ssh à la ibay "données communes" de la sme, ils le feront avec leur clés+passphrases respectives. Et j'ai pensé que quelque chose du style:
sshfs#userA@la_sme point_de_montage_commun
sshfs#userB@la_sme point_de_montage_commun
puisse faire désordre dans le fstab: comment est-ce que le client sait au montage du "point_de_montage_commun" s'il doit utiliser la clé de user A ou celle de user B?

Ensuite un petit "chmod +x nom_du_script" et le script peut être lancé par ./nom_du_script ou par un lanceur d'application placé sur le bureau.

Le montage ne se fait donc pas en auto, mais à la demande: double clic sur le lanceur, la fenêtre de demande de passphrase s'ouvre, passphrase et voilà, c'est monté.

Même principe pour les autres points de montages.....

Cette bidouille est certainement améliorable, mais elle répond à mes attentes comme elle est, je compte donc en rester là et à passer.....


au problème suivant!

@+
Arnaud

[Franck78]

tu sais que tu n'es pas obligé d'utiliser fstab?

mount -t xyz trucmuche /mnt/home/ -o options ....

ca marche dans tous les scripts

[arnaud056]

oui, je l'eus su et..... je l'ai oublié dans la bataille à force d'avoir la tête dans le guidon.......
Ça me permettrait de ne pas à avoir à effectuer les montages dans le /home des différents users

Merci de me l'avoir rappelé

[christiancbis]

Bonjour

Je souhaite tout d'abord de bonnes fêtes de fin d'année à tout le monde.
Je suis surpris du choix qui est fait pour le montage des dossiers sme à partir de postes ubuntu. J'utilises le ssh pour des postes ubuntu, seulement pour des accès distants. En ssh la connexion est impeccable rapide.
Pour l'accès en local je prèfre l'authentification. Cela évite de créer les différents utilisateurs sur chaque poste et le montage des dossiers et home se fait en fonction de l'utilisateur connecté.
Ma référence :
http://wiki.contribs.org/Client_Authentication:Ubuntu
Ne pas oublier dans les commandes sur le poste ubuntu :

Code: Tout sélectionner

/etc/init.d/winbind restart

Pour compléter l'information, on peut refaire référence à un tuto que j'avais posté, il y a quelques temps, mais qui n'est plus totalement fonctionnel avec ubuntu 10.04 et 10.10 :
http://forums.ixus.net/viewtopic.php?f=19&t=42280&hilit=christianc
Personnellement j'ajoute des commandes qui évitent le changement de session et la mise en veille avec verrouillage de l'écran. Il me semblait que cela déréglait l'authentification. Donc je rajoute dans

Code: Tout sélectionner

gksudo gedit /etc/gdm/PreSession/Default

les lignes suivantes :

Code: Tout sélectionner

gconftool-2 --direct --config-source xml:readwrite:/etc/gconf/gconf.xml.mandatory --type boolean --set /desktop/gnome/lockdown/disable_user_switching true
gconftool-2 --direct --config-source xml:readwrite:/etc/gconf/gconf.xml.mandatory --type boolean --set /desktop/gnome/lockdown/disable_lock_screen true

Je trouve cela tout simplement plus confortable.
Cordialement

Christian

[arnaud056]

Bonjour,
afin de clore ce topic, je vous propose le résumé suivant:

L'objectif est de fixer un point de montage pour se connecter à la sme. Bien sûr, cela concerne ceux qui ont un OS linux sur leur client.
La connexion sera réalisée via ssh.

Il fait d'abord créer la clé publique qui restera sur le serveur et la clé privée qui devra être placée sur le client. Pour ce faire, appliquer la méthode indiquée ici: http://smeserver.fr/astuces.php?astuce=net_ssh_keys.
Pour "ramener" la clé sur le client, j'ai utilisé le ftp d'un user et l'ai placée dans /home/"user"/.ssh en lui donnant les permissions 600 (lecture&écriture pour le user, interdit pour tout le reste).
Installer le paquet "ssh-askpass" sur le client. Cela va permettre d'avoir une jolie fenêtre pout entre la passphrase.
Installer le paquet "ssh-add" qui va permettre de n'avoir à entrer la passphrase qu'une fois par session.

Il faut ensuite écrire un script qui va 1) charger la passphrase et 2) effectuer le montage. Le montage peut être mis dans le /etc/fstab ou peut être paramétré dans le script. Attention pour le /etc/fstab: si plusieurs users doivent avoir accès au même répertoire de la sme, il faut un point de montage différent pour chaque user!

Pour la méthode par le fstab:
la ligne de fstab pour un montage du / de sme sur /media/SME/root du client ressemble à ça:

Code: Tout sélectionner

sshfs#root@192.168.2.2:/                /media/SME/root          fuse            user,noauto,noatime,allow_other,uid=1000     0 0

Le script est alors du style (root@sme751-ag-siemens.rsa est la clé privée):

Code: Tout sélectionner

#!/bin/bash
# Version de test
echo "ssh root"
ssh-add /home/"user"/.ssh/root@sme751-ag-siemens.rsa
mount /media/SME/root
exit 0;

Ensuite un petit "chmod +x nom_du_script" et le script peut être lancé par ./nom_du_script ou par un lanceur d'application placé sur le bureau.
Et voilà!


Pour la méthode sans le fstab, il n'y a qu'a modifier légèrement le script:

Code: Tout sélectionner

#!/bin/bash
# Version de test
echo "ssh root"
ssh-add /home/"user"/.ssh/root@sme751-ag-siemens.rsa
sshfs root@192.168.2.2:/    /media/SME/root
exit 0;

Les répertoires de montage auront bien entendu été crées et auront les permissions qui permettront aux users à qui tout ceci est destiné, d'y accéder.

Voilà pour "ma" méthode!

@+
Arnaud

PS: je n'avais pas vu le post ci-dessus de Christian --> éventuellement une autre piste à exploiter....
PS2. j'avais oublié ce qu'a indiqué HP77 au début: il faut dans sme cocher "VPN oui" pour les utilisateurs sme qui doivent pouvoir se connecter. C'est un point important!!