[Résolu] Problème de SFTP avec Jessie

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Résolu] Problème de SFTP avec Jessie

ex_rat

Salut
En testant le script avec debian 8, je viens de me rendre compte d'un soucis de sftp et je sèche un peu..
Alors déjà, le script n'est pas en cause, le problème est présent sur une installation vierge.

Pour faire simple, Filezilla se fait jeter et ce que je ne comprends pas c'est que le sftp marche en console. du coup je sais pas du tout où chercher.

Avec un user toto chrooté comme d'habitude
Filezilla ko:

Statut :   Connexion à 37.187.x.x...
Réponse :   fzSftp started
Commande :   open "toto@37.187.x.x" 22
Erreur :   Server unexpectedly closed network connection
Erreur :   Impossible d'établir une connexion au serveur

Alors qu'en console ça passe

connection ssh ko, normal:

exrat@timelinex ~ $ ssh toto@37.187.5.x.x
toto@37.187.x.x's password: 
This service allows sftp connections only.
Connection to 37.187.x.x closed.

sftp ok:

exrat@timelinex ~ $ sftp toto@37.187.x.x
toto@37.187.x.x's password: 
Connected to 37.187.x.x
sftp> ls -l
-rw-r--r--    1 1001     1001            0 May 11 17:08 toto-test.sh
sftp> exit

Je formate pour tester sur du vierge, et juste avec mon root, exactement pareil alors que la même manip' sur debian 7 passe sans soucis en sortie d'installation. Y'a un truc que je pige pas

Google est pas bavard, j'ai fourgonné du coté de sshd_config mais sans succès.
Est-ce que quelqu’un a fait une installation neuve et a le même soucis ? Une idée ou une soluce ?

Le sshd_config avec le chroot de toto:

# Package generated configuration file
# See the sshd_config(5) manpage for details

# What ports, IPs and protocols we listen for
Port 22
# Use these options to restrict which interfaces/protocols sshd will bind to
#ListenAddress ::
#ListenAddress 0.0.0.0
Protocol 2
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
#HostKey /etc/ssh/ssh_host_dsa_key
#HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key
#Privilege Separation is turned on for security
UsePrivilegeSeparation yes

# Lifetime and size of ephemeral version 1 server key
KeyRegenerationInterval 3600
ServerKeyBits 1024

# Logging
SyslogFacility AUTH
LogLevel INFO

# Authentication:
LoginGraceTime 120
#PermitRootLogin without-password
PermitRootLogin yes
StrictModes yes

RSAAuthentication yes
PubkeyAuthentication yes
#AuthorizedKeysFile     %h/.ssh/authorized_keys

# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes
# For this to work you will also need host keys in /etc/ssh_known_hosts
RhostsRSAAuthentication no
# similar for protocol version 2
HostbasedAuthentication no
# Uncomment if you don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication
#IgnoreUserKnownHosts yes

# To enable empty passwords, change to yes (NOT RECOMMENDED)
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Change to no to disable tunnelled clear text passwords
#PasswordAuthentication yes

# Kerberos options
#KerberosAuthentication no
#KerberosGetAFSToken no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes

# GSSAPI options
#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes

X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes
#UseLogin no

#MaxStartups 10:30:60
#Banner /etc/issue.net

# Allow client to pass locale environment variables
AcceptEnv LANG LC_*

#Subsystem sftp /usr/lib/openssh/sftp-server
Subsystem sftp internal-sftp

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
#UsePAM yes
Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes128-ctr
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160
KexAlgorithms diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1
Match user toto
ChrootDirectory /home/toto

le sshd_cong d'origine:

# Package generated configuration file
# See the sshd_config(5) manpage for details

# What ports, IPs and protocols we listen for
Port 22
# Use these options to restrict which interfaces/protocols sshd will bind to
#ListenAddress ::
#ListenAddress 0.0.0.0
Protocol 2
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
#HostKey /etc/ssh/ssh_host_dsa_key
#HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key
#Privilege Separation is turned on for security
UsePrivilegeSeparation yes

# Lifetime and size of ephemeral version 1 server key
KeyRegenerationInterval 3600
ServerKeyBits 1024

# Logging
SyslogFacility AUTH
LogLevel INFO

# Authentication:
LoginGraceTime 120
#PermitRootLogin without-password
PermitRootLogin yes
StrictModes yes

RSAAuthentication yes
PubkeyAuthentication yes
#AuthorizedKeysFile     %h/.ssh/authorized_keys

# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes
# For this to work you will also need host keys in /etc/ssh_known_hosts
RhostsRSAAuthentication no
# similar for protocol version 2
HostbasedAuthentication no
# Uncomment if you don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication
#IgnoreUserKnownHosts yes

# To enable empty passwords, change to yes (NOT RECOMMENDED)
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Change to no to disable tunnelled clear text passwords
#PasswordAuthentication yes

# Kerberos options
#KerberosAuthentication no
#KerberosGetAFSToken no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes

# GSSAPI options
#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes

X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes
#UseLogin no

#MaxStartups 10:30:60
#Banner /etc/issue.net

# Allow client to pass locale environment variables
AcceptEnv LANG LC_*

Subsystem sftp /usr/lib/openssh/sftp-server

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes128-ctr
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160
KexAlgorithms diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1

En plus j'ai l'impression qu'il y a aussi un bug en ftp mais j'ai pas creusé pour l'instant... encore en galère quoi

Ex.

Wagner

Salut Ex,

tu pourrais clarifier un léger point. FileZilla est configuré manuellement ou via un fichier (celui du Seedbox-Manager) ?
J'imagine, il y a de faible chance, tu rencontre peut-être un problème similaire.

Il n'y a aucun code d'erreur ? FileZilla n'indique rien d'autre ?

ex_rat

Salut Wagner
Alors non, moi c'est à la main pour Filezilla et j'ai aucune info de plus que ça:

Statut :   Connexion à 37.187.x.x...
Réponse :   fzSftp started
Commande :   open "toto@37.187.x.x" 22
Erreur :   Server unexpectedly closed network connection
Erreur :   Impossible d'établir une connexion au serveur

J'ai fais tester la chose depuis une autre ip avec un windows/filezilla et c'est pareil (install' vierge, juste avec le root).
Je ne retrouve pas d'infos dans les logs du serveur, je ne cherche peut-être pas où il faut.
Je trouve vraiment étrange que ça passe en console le sftp, ça ne me parait pas logique. Il devrait me jeter partout

Ex.
edit: je t'ai mp si tu veux tester

mirtouf

Salut,

le menu debug (à activer dans les options) de filezilla permet d'avoir une vision plus claire en choisissant le mode le plus verbeux.

BXT

auth.log ex_rat

ex_rat

Merci à vous deux pour debug et le nom du bon log

Alors Wagner à tester de son coté et il a pas eu l'erreur, du coup je lance plein d'espoir et pareil, ça marche... une fois seulement ! Depuis retour casse départ avec l'erreur

Au moment de l'erreur, j'ai juste ça dans auth.log:

May 12 19:22:44 ks33xxx sshd[24416]: error: Could not load host key: /etc/ssh/ssh_host_ed25519_key
May 12 19:22:44 ks33xxx sshd[24416]: fatal: no matching mac found: client hmac-sha1,hmac-sha1-96,hmac-md5 server hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-$

filezilla en mode debug me donne ça:

Statut :	Connexion à 37.187.x.x...
Suivi :	Going to execute /usr/bin/fzsftp
Réponse :	fzSftp started
Suivi :	CSftpControlSocket::ConnectParseResponse(fzSftp started)
Suivi :	CSftpControlSocket::SendNextCommand()
Suivi :	CSftpControlSocket::ConnectSend()
Commande :	open "root@37.187.x.x" 22
Suivi :	Server version: SSH-2.0-OpenSSH_6.7p1 Debian-5
Suivi :	Using SSH protocol version 2
Suivi :	We claim version: SSH-2.0-PuTTY_Local:_Sep_11_2013_10:38:38
Suivi :	Doing Diffie-Hellman group exchange
Suivi :	Connection reset by peer
Erreur :	Connection reset by peer
Suivi :	CControlSocket::DoClose(64)
Suivi :	CSftpControlSocket::ResetOperation(66)
Suivi :	CControlSocket::ResetOperation(66)
Erreur :	Impossible d'établir une connexion au serveur
Suivi :	CFileZillaEnginePrivate::ResetOperation(66)

Je manque un peu de temps pour approfondir, ça aide pas trop non plus là

Ex.

BXT

"May 12 19:22:44 ks33xxx sshd[24416]: error: Could not load host key: /etc/ssh/ssh_host_ed25519_key"

C'est quoi cette key? Telle est la question

Wagner

Tu devrais revoir (ou recréer) la clef ou alors les dernières lignes (90-93) de ton fichier sshd-config. Dans ton fichier original, elle n'y figure pas.

ex_rat

Là on est en sortie d'install' sur le kim et j'ai un gros doute sur le bricolage ovh pour tout dire...
Bon je formate, on verra demain je suis crevé là

Ex.

Wagner

D'accord ça marche 😉, c'est vrai que j'ai un peu également cette impression...

mirtouf

C'est quelle version de filezilla ?

Le client demande que des trucs moisis :
client hmac-sha1,hmac-sha1-96,hmac-md5
Le serveur offre de la bonne sécurité :
hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160
C'est sûr qu'ils ne vont pas se comprendre.

solution : mettre à jour le client sftp de filezilla

mirtouf

Un peu de lecture pour cette occasion :
https://github.com/stribika/stribika.github.io/blob/master/_posts/2015-01-04-secure-secure-shell.md

ex_rat

Bien joué Mirtouf, je crois que t'as mis le doigt sur le problème

Mon Mint tourne avec une 3 .7.3, après installation d'une 3.10.3 ça passe direct. Donc le gars qui m'a fait le test sur son Windows était pas à jour non plus, on risquait pas d'y arriver...
Enfin, en plus de "vide ton cache" on pourra ajouter "mets ton Filezilla à jour" au rayon des réponses toutes prêtes

Merci les gars !
Ex.

Wagner

Hier, j'y ai pensé mais je n'y ai cru. Je me suis dis que tu avais surement soit une version à jour, soit t'y avais déjà pensé.

ex_rat

Bah ça m'a pas effleuré une seconde

Et pourtant ça explique bien pourquoi je passais sans soucis en console. Je pensais qu'avec Mint j'étais un peu à l'abris de ces histoires de vieux softs mais faut croire que non. Je serai plus méfiant à l'avenir

Ex.

Wagner

Je comprends, tout le monde n'a forcément ce réflexe. De plus, par hasard, j'avais lu une annonce sur la (futur) v3.11.0; La RC1 est parue hier.
Je connais peu Mint néanmoins je ferais plus confiance à une distribution comme Arch (Linux).