configuración de openssh.vdo.dyndns.org/so3/ssh_configuracion.pdfsftp (ssh file transfer protocol)...

pdfcrowd.comopen in browser PRO version Are you a developer? Try out the HTML to PDF API

Configuración de OpenSSH.Autor: Joel Barrios DueñasCorreo electrónico: darkshram en gmail punto comSitio de Red: http://www.alcancelibre.org/Jabber ID: [email protected]

Creative Commons Reconocimiento-NoComercial-CompartirIgual 2.1

© 1999-2016 Joel Barrios Dueñas . Us ted es libre de copiar, dis tribuir y comunicar públicamente la obra y hacer obras derivadas bajolas condic iones s iguientes: a) Debe reconocer y c itar al autor original. b) No puede utilizar esta obra para f ines comerciales (incluyendosu publicación, a través de cualquier medio, por entidades con f ines de lucro). c ) Si altera o trans forma es ta obra o genera una obraderivada, sólo puede dis tribuir la obra generada bajo una licenc ia idéntica a és ta. A l reutilizar o dis tribuir la obra, tiene que dejar bienc laro los términos de la licenc ia de es ta obra. A lguna de es tas condic iones puede no aplicarse s i se obtiene el permiso del titular de losderechos de autor. Los derechos derivados de usos legítimos u otras limitac iones no se ven afec tados por lo anterior. Licenc ia completaen cas tellano. La informac ión contenida en es te documento y los derivados de és te se proporc ionan tal cual son y los autores noasumirán responsabilidad alguna s i el usuario o lec tor, hace mal uso de és tos .

Introducción.

¿Qué es SSH?

SSH (Secure Shell) es un conjunto de estándares y protocolo de red que permite estableceruna comunicación a través de un canal seguro entre un cliente local y un servidor remoto.Utiliza una llave pública para autenticar el servidor remoto y —de manera opcional—permitir al servidor remoto autenticar al usuario. SSH provee confidencialidad e integridaden la transferencia de los datos utilizando criptografía y MAC (Message AuthenticationCodes o Códigos de Autenticación de Mensaje). De modo predeterminado, escucha

http://creativecommons.org/licenses/by-nc-sa/2.1/es/legalcode.es

http://creativecommons.org/licenses/by-nc-sa/2.1/es/

http://www.alcancelibre.org/

http://www.alcancelibre.org/forum/

http://pdfcrowd.com/html-to-pdf-api/?ref=pdf

http://pdfcrowd.com/customize/

http://pdfcrowd.com/redirect/?url=http%3a%2f%2fwww.alcancelibre.org%2fstaticpages%2findex.php%2f10-como-openssh%2fprint&id=ma-170806024529-4cd96a42

http://pdfcrowd.com


peticiones a través del puerto 22 por TCP.

¿Qué es SFTP?

SFTP (SSH File Transfer Protocol) es un protocolo que provee funcionalidad detransferencia y manipulación de archivos a través de un flujo confiable de datos.Comúnmente se utiliza con SSH para proveer a éste de transferencia segura de archivos.

¿Qué es SCP?

SCP (Secure Copy o Copia Segura) es una protocolo seguro para transferir archivos entre unanfitrión local y otro remoto, a través de SSH. Básicamente, es idéntico a RCP (RemoteCopy o Copia Remota), con la diferencia de que los datos son cifrados durante latransferencia para evitar la extracción potencial de información a través de programas decaptura de las tramas de red (packet sniffers). SCP sólo implementa la transferencia dearchivos, pues la autenticación requerida es realizada a través de SSH.

¿Qué es OpenSSH?

OpenSSH (Open Secure Shell) es una alternativa de código fuente abierto, con licenciaBSD, hacia la implementación propietaria y de código cerrado SSH creada por Tatu Ylönen.OpenSSH es un proyecto creado por el equipo de desarrollo de OpenBSD y actualmentedirigido por Theo de Raadt. Se considera es más segura que la versión privativa Ylönen,gracias a la constante auditoría que se realiza sobre el código fuente por parte de unaenorme comunidad de desarrolladores, una ventaja que brinda el Software Libre.

OpenSSH incluye servicio y clientes para los protocolos SSH, SFTP y SCP.

http://en.wikipedia.org/wiki/BSD_license

http://www.openssh.org/




http://pdfcrowd.com


URL: http://www.openssh.org/.

Equipamiento lógico necesario.

En CentOS y Red Hat™ Enterprise Linux.

Si realizó una instalación mínima, ejecute lo siguiente para instalar la paquetería necesaria:

yum -y install openssh openssh-server openssh-clients

En openSUSE™ y SUSE™ Linux Enterprise.

Si realizó una instalación mínima, ejecute lo siguiente para instalar la paquetería necesaria:

yast -i openssh

Activar, desactivar, iniciar, detener y reiniciar el serviciossh.

De modo predeterminado el servicio está activo en todos los niveles de ejecución.

CentOS 7 y Red Hat™ Enterprise Linux 7 y versiones posteriores.

http://www.openssh.org/




http://pdfcrowd.com


Ejecute lo siguiente para desactivar el servicio de todos los niveles de ejecución ejecute:

systemctl disable sshd

Ejecute lo siguiente para iniciar por primera vez el servicio:

systemctl start sshd

Ejecute lo siguiente para reiniciar el servicio y aplicar cambios en la configuración:

systemctl restart sshd

Ejecute lo siguiente para detener el servicio:

systemctl stop sshd

ALDOS 1.4, CentOS 6 y Red Hat™ Enterprise Linux 6 y versionesanteriores.

Ejecute lo siguiente para desactivar el servicio de todos los niveles de ejecución ejecute:




http://pdfcrowd.com


chkconfig sshd off


service sshd start


service sshd restart


service sshd stop


Ejecute lo siguiente para desactivar el servicio en todos los niveles de ejecución:

insserv -r sshd




http://pdfcrowd.com



rcsshd start


rcsshd restart


service sshd stop

Modificaciones necesarias en el muro cortafuegos.

Es necesario abrir el puerto 22 por TCP (SSH) o bien el puerto que se haya seleccionadopara el servicio.

En CentOS y Red Hat™ Enterprise Linux.

Utilizando system-config-firewall.




http://pdfcrowd.com


Ejecute lo siguiente:

system-config-firewall-tui

Habilite la casilla de SSH y aplique los cambios.

Habilitando SSH en system-config-firewall-tui.

http://www.alcancelibre.org/images/system-config-firewall-tui-ssh.png




http://pdfcrowd.com


O bien utilice la herramienta gráfica desde el escritorio.

Habilitando SSH en system-config-firewall.

Servicio iptables.

Ejecute lo siguiente:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT

http://www.alcancelibre.org/images/system-config-firewall-ssh.png




http://pdfcrowd.com


Guarde los cambios ejecutando lo siguiente:

service iptables save

O bien añada lo siguiente al archivo /etc/sysconfig/iptables:

-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT

Y reinicie el servicio iptables:

service iptables restart

Shorewall.

Edite el archivo /etc/shorewall/rules:

vi /etc/shorewall/rules

Las regla correspondería a algo similar a lo siguiente:




http://pdfcrowd.com


#ACTION SOURCE DEST PROTO DEST SOURCE

# PORT PORT(S)1

ACCEPT all fw tcp 22

Si se decide ofuscar el puerto de SSH, puede utilizar la siguiente regla, donde en lugar delpuerto 22 de deberá especificar el puerto que haya elegido —52341 en el ejemplo:

#ACTION SOURCE DEST PROTO DEST SOURCE

# PORT PORT(S)1

ACCEPT all fw tcp 52341

Reinicie el servicio ejecutando lo siguiente:

service shorewall restart


Ejecute yast con firewall como argumento:

yast firewall




http://pdfcrowd.com


Habilite Secure Shell Server —o bien el puerto seleccionado para utilizar el servicio— yaplique los cambios.

Módulo de cortafuegos de YaST, habilitando Secure Shell Server en modo texto.

O bien haga lo mismo desde YaST → Seguridad y usuarios → Cortafuegos → AllowedServices o Servicios autorizados y aplique los cambios.

http://www.alcancelibre.org/images/yast-firefall-ssh.png




http://pdfcrowd.com


Módulo de cortafuegos de YaST, habilitando Secure Shell Server desde el escritorio.

SELinux y el servicio sshd.

Si utiliza openSUSE™ y SUSE™ Linux Enterprise omita la siguiente sección.

Si utiliza CentOS o Red Hat™ Enterprise Linux, el sistema incluye varias políticas para elservicio sshd.

http://www.alcancelibre.org/images/yast-firewall-servicio-ssh-grafico.png




http://pdfcrowd.com


Puerto distinto al 22.

Si configura el servicio para utilizar un puerto distinto al 22, debe cambiar el contexto deSELinux de éste para permitir al servicio hacer uso de éste. En el siguiente ejemplo sepermite utilizar el puerto 52341:

semanage port -a -t ssh_port_t -p tcp 52341

Política ssh_chroot_rw_homedirs.

Habilita los atributos lectura y escritura de archivos en los directorios de inicio de losusuarios con chroot. El valor predeterminado es deshabilitado. Para habilitar sólo ejecute:

setsebool -P ssh_chroot_rw_homedirs 1

Política fenced_can_ssh.

Permite a usuarios con chroot poder ingresar también a través de SSH. El valorpredeterminado es deshabilitado. Por lo general se evita utilizar esta política. Para habilitarejecute:

setsebool -P fenced_can_ssh 1




http://pdfcrowd.com


Política ssh_chroot_manage_apache_content.

Esta política es inexistente en CentOS 7 y Red Hat™ Enterprise Linux 7 y versionesposteriores de éstos. En CentOS 6 y Red Hat™ Enterprise Linux 6 permite a usuarios conchroot poder administrar también contenidos publicados a través de Apache. El valorpredeterminado es deshabilitado. Para habilitar ejecute:

setsebool -P ssh_chroot_manage_apache_content 1

Política ssh_sysadm_login.

Habilita el acceso a usuarios con rol de administrador de sistema (contextossysadm_r:sysadm_t. El valor predeterminado es deshabilitado. Para habilitar ejecute:

setsebool -P ssh_sysadm_login 1

Política allow_ssh_keysign.

Habilita el uso de firmas digitales. El valor predeterminado es deshabilitado. Para habilitarejecute:

http://www.alcancelibre.org/staticpages/index.php/como-ssh-clave-publica




http://pdfcrowd.com


setsebool -P allow_ssh_keysign 1

Para más detalles, consulte el documento titulado «OpenSSH con autenticación a travésde firma digital».

Contexto ssh_home_t.

El contexto de SELinux para de los directorios ~/.ssh —y sus contenidos— debe ser tipossh_home_t. Reasigne los contextos ejecutando lo siguiente:

restorecon -Rv /root/.ssh /home/*/.ssh

O bien ejecutando:

chcon -R -t ssh_home_t /root/.ssh /home/*/.ssh

Archivos de configuración.

/etc/ssh/sshd_configArchivo principal de configuración del servidor SSH.





http://pdfcrowd.com


/etc/ssh/ssh_configArchivo principal de configuración de los clientes SSH utilizados desde elanfitrión local.

~/.ssh/configArchivo personal para cada usuario, que almacena la configuración utilizada porlos clientes SSH utilizados desde el anfitrión local. Permite al usuario localutilizar una configuración distinta a la definida en el archivo/etc/ssh/ssh_config.

~/.ssh/known_hostsArchivo personal para cada usuario, el cual almacena las firmas digitales de losservidores SSH a los que se conectan los clientes. Cuando éstas firmas cambian,se pueden actualizar ejecutando ssh-keygen con la opción -R y el nombre delanfitrión como argumento, el cual elimina la entrada correspondiente del archivo~/.ssh/known_hosts, permitiendo añadir de nuevo el anfitrión con una nuevafirma digital. Ejemplo: ssh-keygen -R nombre.o.ip.servidor.

~/.ssh/authorized_keysArchivo personal para cada usuario, el cual almacena los certificados de losclientes SSH, para permitir autenticación hacia servidores SSH sin requerircontraseña. Consulte el documento titulado «OpenSSH con autenticación através de firma digital.»

Cuando se utilizan cuentas con acceso al intérprete de mandatos, las opcionessuministradas a ssh tienen precedencia sobre las opciones establecidas en el archivo





http://pdfcrowd.com


~/.ssh/config, que a su vez tiene precedencia sobre las opciones definidas en el archivo/etc/ssh/ssh_config.

Procedimientos.

Edite el archivo /etc/ssh/sshd_config.

vi /etc/ssh/sshd_config

A continuación se analizarán las opciones básicas que se recomienda modificar.

Opción Port.

Una forma de elevar considerablemente la seguridad al servicio consiste en cambiar elnúmero de puerto predeterminado por otro que sólo conozca el administrador del sistema. Aeste tipo de técnicas se les conoce como Seguridad por Oscuridad. La mayoría de losdelincuentes informáticos utiliza guiones que buscan servidores que respondan a peticionesa través del puerto 22. Cambiar de puerto disminuye considerablemente la posibilidad deuna intrusión.

Port 22

SSH trabaja a través del puerto 22 por TCP. Puede elegirse cualquier otro puerto entre el1025 y 65535. En el siguiente ejemplo se establecerá el puerto 52341:




http://pdfcrowd.com


Port 52341

Opción ListenAddress.

De modo predeterminado el servicio de SSH escuchará peticiones a través de todas lasdirecciones presentes en todas las interfaces de red del sistema. En el siguiente ejemplo elservidor a configurar tiene la dirección IP 192.168.1.254, la cual sólo podría ser accedidadesde la red local:

ListenAddress 192.168.1.254

Opción PermitRootLogin.

Establece si se va a permitir el ingreso directo del usuario root al servidor SSH. Si se va apermitir el ingreso hacia el servidor desde redes públicas, resultará prudente utilizar estaopción con el valor no, de modo que sea necesario ingresar primero con una cuenta deusuario activa, con un intérprete de mandatos que permita el acceso.

PermitRootLogin no

Opción PasswordAuthentication.




http://pdfcrowd.com


Esta opción habilita o deshabilita la autenticación con contraseñas.De modo predeterminado está permitido el acceso autenticado concontraseñas. Si pone como valor «no» sólo se permitirá el acceso através de firmas digitales. Por favor, evite cambiar el valor de estaopción hasta haber instalado su firma digital.

PasswordAuthentication yes

Opción X11Forwarding.

Establece si se permitirá la ejecución remota de aplicaciones gráficas que utilicen elservidor X11. Resultará conveniente para algunas tareas administrativas que sólo puedanllevarse a cabo con herramientas gráficas o bien si se requiere utilizar una aplicación gráficaen particular. Para este fin, esta opción puede establecerse con el valor yes.

X11Forwarding yes

Opción AllowUsers.

Permite restringir el acceso por usuario y/o por anfitrión. El siguiente ejemplo restringe elacceso hacia el servidor SSH para que sólo puedan hacerlo los usuarios fulano y mengano,desde cualquier anfitrión.




http://pdfcrowd.com


AllowUsers fulano mengano

El siguiente ejemplo restringe el acceso hacia el servidor SSH para que sólo puedan hacerlolos usuarios fulano y mengano, pero sólo desde los anfitriones 10.1.1.1 y 10.2.2.1.

AllowUsers [email protected] [email protected] [email protected] [email protected]

Opción UseDNS.

Cuando un cliente realiza una conexión hacia un servidor SSH, éste último intentará resolverla dirección IP del cliente. Si el servidor DNS predeterminado del sistema carece de unazona de resolución inversa que resuelva un nombre para la dirección IP del cliente, laconexión se demorará algunos segundos más de lo normal. Algunos administradoresprefieren desactivar esta función con el fin de agilizar las conexiones SSH en redes dondese carece de servidores DNS que tengan zonas de reenvío para resolver los nombres ozonas de resolución inversa para resolver las direcciones IP de los segmentos de red local.

UseDNS no

Del lado del cliente se realiza un proceso de validación, que tiene como objetivo verificar sise están falsificando registros en un servidor DNS, en el caso de que éste último se hayavisto comprometido en su seguridad. La opción que controla esta función es CheckHostIP,tiene establecido yes como valor predeterminado y se define en el archivo




http://pdfcrowd.com


/etc/ssh/ssh_config (archivo de configuración para los clientes SSH del anfitrión local).

Se recomienda dejar intacta esta opción con el valor predeterminado, salvo que losservidores SSH involucrados carezcan de resolución en algún servidor DNS. Establecer elvalor no, tiene como riesgo el ser susceptible de conectarse inadvertidamente a un servidordistinto al que realmente se quería utilizar, cuya resolución de nombre de anfitrión hayasido falsificada y que pudiera estar siendo utilizado con malas intenciones para engañar ypoder capturar nombres de usuario y contraseñas y posteriormente utilizar éstos paraacceder al verdadero servidor.

Probando OpenSSH.

Acceso con intérprete de mandatos.

Desde GNU/Linux y Mac OS X.

Para acceder con intérprete de mandatos hacia el servidor, ejecute ssh desde una terminalen el sistema cliente, definiendo como argumentos el usuario a utilizar, una arroba y ladirección IP o nombre del servidor al cual se quiera conectar:

ssh [email protected]

Si el servidor SSH utiliza un puerto distinto al 22, se puede utilizar la opción -p con elnúmero de puerto utilizado como argumento. En el siguiente ejemplo se utiliza la cuentadel usuario juan para acceder hacia el servidor con dirección IP 192.168.70.99, el cual




http://pdfcrowd.com


tiene un servicio de SSH que escucha peticiones a través del puerto 52341.

ssh -p 52341 [email protected]

Desde Windows.

Acceda hacia putty.org, descargue y ejecute PuTTY. Éste es un cliente para SSH para todaslas versiones de Windows.

http://www.putty.org/




http://pdfcrowd.com


Ventana de configuración de PuTTY.




http://pdfcrowd.com


Aceptando firma digital de servidor SSH en PuTTY.




http://pdfcrowd.com


Ingresando a un servidor SSH con PuTTY.

Transferencia de archivos a través de SFTP.

Para acceder a través de SFTP hacia el servidor, ejecute sftp desde el sistema clientedefiniendo el usuario a utilizar, una arroba y el nombre o dirección IP del servidor remoto:




http://pdfcrowd.com


sftp usuario@servidor

El intérprete de mandatos de SFTP es muy similar al utilizado para el protocolo FTP y tienelas mismas funcionalidades.

Ejecute sftp con la opción -o con el valor Port=número de puerto para acceder hacia unservidor SSH en un puerto distinto al 22. En el siguiente ejemplo se intentará acceder con elusuario juan hacia el servidor con dirección IP 192.168.70.99 y que escucha peticiones en elpuerto 52341:

sftp -o Port=52341 [email protected]

Si utiliza GNOME 2.x o MATE como escritorio, puede acceder hacia servidores SSH a travésdel protocolo SFTP utilizando el administrador de archivos (Nautilus) para realizartransferencias y manipulación de archivos, especificando el URI (Uniform Resource Locatoro Localizador Uniforme de Recursos) «sftp:», seguido del servidor y la ruta hacia la que sequiere acceder, seguido del puerto, en el caso que sea distinto al 22.




http://pdfcrowd.com


Nautilus, accediendo hacia un directorio remoto a través de SFTP.

Jaulas para los usuarios que acceden a través de SFTP.

La función de chroot (jaula de confinamiento de los usuarios) viene incluida desde laversión 4.9p1 de OpenSSH.

Edite el archivo /etc/ssh/sshd_config:

http://www.alcancelibre.org/images/nautilus-sftp.png




http://pdfcrowd.com


vi /etc/ssh/sshd_config

Localice la siguiente línea resaltada. La encontrará casi al final del archivo:

# override default of no subsystems

Subsystem sftp /usr/libexec/openssh/sftp-server

Deshabilite la línea con una almohadilla y añada el siguiente contenido resaltado:

# override default of no subsystems

#Subsystem sftp /usr/libexec/openssh/sftp-server

Subsystem sftp internal-sftp

Match Group sftpusers

ChrootDirectory %h

ForceCommand internal-sftp

AllowTcpForwarding no

Guarde el archivo, salga del editor de texto y regrese al intérprete de mandatos.

Si utiliza CentOS o Red Hat™ Enterprise Linux, reinicie el servicio ejecutando lo siguiente:




http://pdfcrowd.com


service sshd restart

Si utiliza openSUSE™ o SUSE™ Linux Enterprise, reinicie el servicio ejecutando lo siguiente:

rcsshd restart

Ejecute groupadd con sftpusers como argumento para crear un grupo con este nombre.

groupadd sftpusers

Añada usuarios a los cuales se quiera enjaular con chroot al grupo sftpusers ejecutandousermod con la opción -G (mayúscula) y sftpusers y el nombre del usuario comoargumentos. Ejemplo:

usermod -G sftpusers perengano

Cambie los permisos del directorio de inicio de los usuarios involucrados para quepertenezcan al grupo y usuario root y además tengan permiso de acceso 755 —es decirdrwxr-xr-x.




http://pdfcrowd.com


chown root:root /home/perengano

chmod 755 /home/perengano

Genere un directorio donde el usuario y su grupo sí predeterminado tengan privilegios deescritura:

mkdir -p -m 0755 /home/perengano/public_html

mkdir -p -m 0700 /home/perengano/{mail,.ssh}

chown perengano:perengano /home/perengano/{mail,.ssh,public_html}

Finalmente, cambie el intérprete de mandatos de los usuarios involucrados a/sbin/nologin.

usermod -s /sbin/nologin perengano

A partir de este momento los usuarios involucrados podrán ingresar al sistema a través deSFTP, pero sólo podrán tener acceso a su directorio de inicio. Ejemplo:




http://pdfcrowd.com


[fulano@centos6 ~]$ sftp [email protected]

[email protected]'s password:

Connected to 192.168.80.8.

sftp> pwd

Remote working directory: /

sftp> ls -a

. .. .bash_logout .bash_profile .bashrc public_html

sftp> _

Accediendo con Nautilus a cuenta SFTP con chroot.

http://www.alcancelibre.org/images/nautilus-sftp-chroot.png




http://pdfcrowd.com


Transferencia de archivos a través de SCP.

Para realizar transferencias de archivos a través de SCP, es necesario conocer las rutas delos directorios objetivo del anfitrión remoto. A continuación se describen algunas de lasopciones más importantes de scp.

-p (minúscula)Preserva el tiempo de modificación, tiempos de acceso y los modos del archivooriginal.

-P (mayúscula)Especifica el puerto para realizar la conexión.

-rCopia en modo descendente de los directorios especificados.

En el siguiente ejemplo se transferirá el archivo algo.txt —preservando tiempos y modos—hacia el directorio de inicio del usuario fulano en el servidor 192.169.0.99.

scp -p algo.txt [email protected]:~/

En el siguiente ejemplo se transferirá la carpeta Mail, junto con todo su contenido,preservando tiempos y modos, hacia el directorio de inicio del usuario fulano en el servidor192.169.0.99.




http://pdfcrowd.com


scp -rp Mail [email protected]:~/

En el siguiente ejemplo se transferirá la carpeta Mail, junto con todo su contenido, desdeel directorio de inicio del usuario fulano en el servidor 192.169.0.99, cuyo servicio de SSHescucha peticiones a través del puerto 52341, preservando tiempos y modos, hacia eldirectorio del usuario con el que se está trabajando en el anfitrión local.

scp -P 52341 -rp [email protected]:~/Mail ./

Por favor continúe con el documento titulado «OpenSSH con autenticación a través defirma digital.»





http://pdfcrowd.com

configuración de openssh.vdo.dyndns.org/so3/ssh_configuracion.pdfsftp (ssh file transfer protocol)...

Documents