Thomas.will: /* Firewall (nftables) */

2026-07-30T07:45:29Z

Firewall (nftables)

Thomas.will: Die Seite wurde neu angelegt: „= SSH mit getrennten Zugängen: Port 22 (SSH) und Port 8472 (SFTP-only) = Diese Anleitung richtet auf '''it2XX''' zwei getrennte SSH-Zugänge auf demselben Ho…“

2026-07-30T07:44:34Z

Die Seite wurde neu angelegt: „= SSH mit getrennten Zugängen: Port 22 (SSH) und Port 8472 (SFTP-only) = Diese Anleitung richtet auf '''it2XX''' zwei getrennte SSH-Zugänge auf demselben Ho…“

Neue Seite

= SSH mit getrennten Zugängen: Port 22 (SSH) und Port 8472 (SFTP-only) =

Diese Anleitung richtet auf '''it2XX''' zwei getrennte SSH-Zugänge auf demselben Host ein:

* '''Port 22''' – regulärer SSH-Login für andere Benutzer des Systems
* '''Port 8472''' – ausschließlich SFTP, kein Login möglich, gebunden an die Gruppe <code>sftp-only</code>

Benutzer '''martha''' und '''leroy''' werden der Gruppe <code>sftp-only</code> zugeordnet und nutzen ausschließlich Port 8472. Auf Port 22 haben sie keinen Zugriff.

== Gruppe und Benutzer anlegen ==

;Gruppe für SFTP-only-Zugänge erstellen
*<syntaxhighlight lang="bash">groupadd sftp-only</syntaxhighlight>

;Benutzer martha und leroy anlegen und der Gruppe zuweisen
*<syntaxhighlight lang="bash">useradd -m -g sftp-only -s /usr/sbin/nologin martha</syntaxhighlight>
*<syntaxhighlight lang="bash">useradd -m -g sftp-only -s /usr/sbin/nologin leroy</syntaxhighlight>
*<syntaxhighlight lang="bash">passwd martha</syntaxhighlight>
*<syntaxhighlight lang="bash">passwd leroy</syntaxhighlight>

Die Login-Shell <code>/usr/sbin/nologin</code> ist ein zusätzlicher Schutzwall: Selbst wenn martha oder leroy versuchen sollten, sich über Port 22 einzuloggen, scheitert das bereits daran. Der eigentliche Mechanismus, der SFTP-only auf Port 8472 erzwingt, ist aber <code>ForceCommand</code> in der sshd-Konfiguration.

== Verzeichnisstruktur für Chroot ==

Für <code>ChrootDirectory</code> muss das Home-Verzeichnis '''root:root''' gehören und darf nicht gruppen-/world-writable sein. Ein beschreibbares Unterverzeichnis wird für die eigentlichen Dateien angelegt.

;Chroot-Basis vorbereiten
*<syntaxhighlight lang="bash">chown root:root /home/martha /home/leroy</syntaxhighlight>
*<syntaxhighlight lang="bash">chmod 755 /home/martha /home/leroy</syntaxhighlight>

;Beschreibbares Upload-Verzeichnis anlegen
*<syntaxhighlight lang="bash">mkdir -p /home/martha/upload /home/leroy/upload</syntaxhighlight>
*<syntaxhighlight lang="bash">chown martha:sftp-only /home/martha/upload</syntaxhighlight>
*<syntaxhighlight lang="bash">chown leroy:sftp-only /home/leroy/upload</syntaxhighlight>

== sshd_config anpassen ==

;Port 22 = normaler SSH-Login für andere User, Port 8472 = ausschließlich SFTP für martha/leroy, niemals Login
<pre>
# /etc/ssh/sshd_config

Port 22
Port 8472

Match LocalPort 8472
ForceCommand internal-sftp
PermitTTY no
X11Forwarding no
AllowTcpForwarding no
AllowAgentForwarding no
PermitTunnel no
ChrootDirectory %h
</pre>

martha und leroy verbinden sich ausschließlich über Port 8472. Dort bekommt jeder Client ausnahmslos <code>internal-sftp</code> vorgesetzt — <code>PermitTTY no</code> verhindert zusätzlich jede Terminal-Zuweisung. Ein Login ist auf Port 8472 technisch nicht möglich, egal welcher Befehl übergeben wird. Auf Port 22 haben martha und leroy keinen Zugriff — dieser Port ist ausschließlich für andere Benutzer des Systems bestimmt.

;sshd neu laden
*<syntaxhighlight lang="bash">sshd -t</syntaxhighlight>
*<syntaxhighlight lang="bash">systemctl reload sshd</syntaxhighlight>

<code>sshd -t</code> prüft die Syntax, bevor der Dienst tatsächlich neu geladen wird – bei einem Fehler in der Config sonst riskant, da das laufende System sich sofort selbst aussperren kann.

== Firewall (nftables) ==

;Port 8472 zusätzlich zu 22 freigeben
<pre>
table inet filter {
chain input {
type filter hook input priority 0; policy drop;
tcp dport { 22, 8472 } accept
}
}
</pre>

== Funktionstest ==

;Von einem Client aus prüfen, dass Port 8472 keinen Login zulässt
*<syntaxhighlight lang="bash">ssh -p 8472 martha@it2XX</syntaxhighlight>
*<syntaxhighlight lang="bash">sftp -P 8472 martha@it2XX</syntaxhighlight>

Der erste Befehl muss fehlschlagen bzw. sofort trennen, der zweite muss funktionieren. Selbst ein expliziter Befehl wie <code>ssh -p 8472 martha@it2XX whoami</code> darf keine Ausgabe liefern, da <code>ForceCommand</code> jeden übergebenen Befehl ignoriert und stattdessen ausnahmslos <code>internal-sftp</code> startet.

;Zur Kontrolle: martha darf sich auch auf Port 22 nicht einloggen können
*<syntaxhighlight lang="bash">ssh -p 22 martha@it2XX</syntaxhighlight>

== Zusammenfassung ==

{| class="wikitable"
! Port !! Zweck !! Login für martha/leroy?
|-
| 22 || Regulärer SSH-Zugang (andere User) || Nein
|-
| 8472 || SFTP-only || Nein — ausschließlich Dateiübertragung
|}

[[Kategorie:SSH]]
[[Kategorie:IT-Sicherheit]]

← Nächstältere Version		Version vom 30. Juli 2026, 07:45 Uhr
Zeile 60:		Zeile 60:

	<code>sshd -t</code> prüft die Syntax, bevor der Dienst tatsächlich neu geladen wird – bei einem Fehler in der Config sonst riskant, da das laufende System sich sofort selbst aussperren kann.		<code>sshd -t</code> prüft die Syntax, bevor der Dienst tatsächlich neu geladen wird – bei einem Fehler in der Config sonst riskant, da das laufende System sich sofort selbst aussperren kann.
−
−	~~== Firewall (nftables) ==~~
−
−	~~;Port 8472 zusätzlich zu 22 freigeben~~
−	~~<pre>~~
−	~~table inet filter {~~
−	~~chain input {~~
−	~~type filter hook input priority 0; policy drop;~~
−	~~tcp dport { 22, 8472 } accept~~
−	}
−	}
−	~~</pre>~~

	== Funktionstest ==		== Funktionstest ==

SSH und SFTP - Versionsgeschichte

Thomas.will: /* Firewall (nftables) */

Thomas.will: Die Seite wurde neu angelegt: „= SSH mit getrennten Zugängen: Port 22 (SSH) und Port 8472 (SFTP-only) = Diese Anleitung richtet auf '''it2XX''' zwei getrennte SSH-Zugänge auf demselben Ho…“