Usuarios sftp enjaulados con logs para registro de eventos

Escenario

Un cliente nos pide que montemos un servidor FTP para que nos pueda hacer llegar periódimante ficheros con datos. La máquina en la que vamos a configurarlo corre en un ubuntu server 18.04. y tiene instalado un openssh-server.

Requisitos

Debe utilizar el protocolo SFTP, que ofrece las funcionalidades de FTP sobre el protocolo SSH.
El usuario debe de estar enjaulado (chroot) en su home, no pudiendo acceder a ningún directorio fuera de esta
Debe registrarse la actividad del usuario FTP

Implementación

Usuarios sftp

Lo primero creamos un grupo para los usuarios que vayan a usar el servicio SFTP.

$ sudo groupadd sftp

1	$ sudo groupadd sftp

Ahora creamos los usuarios y los asignamos a ese grupo:

$ GROUPID=$(getent group sftp | cut -d: -f3)
$ sudo useradd usuario1 -d /var/ftp/usuario1 -g sftp -M -N -o -u $GROUPID
$ sudo useradd usuario2 -d /var/ftp/usuario2 -g sftp -M -N -o -u $GROUPID

$ GROUPID=$(getent group sftp | cut -d: -f3)

$ sudo useradd usuario1 -d /var/ftp/usuario1 -g sftp -M -N -o -u $GROUPID

$ sudo useradd usuario2 -d /var/ftp/usuario2 -g sftp -M -N -o -u $GROUPID

Por supuesto, si no existen creamos los directorios:

$ sudo mkdir -m2755 /var/ftp/usuario1
$ sudo mkdir -m2755 /var/ftp/usuario2

1 2	$ sudo mkdir -m2755 /var/ftp/usuario1 $ sudo mkdir -m2755 /var/ftp/usuario2

El propietatio de estos directorios y los que estén por encima, ha de ser root:root y estos no pueden ser modificados por ningún otro usuario

Y no olvidemos asignar las contraseñas:

$ sudo passwd usuario1
$ sudo passwd usuario2

1 2	$ sudo passwd usuario1 $ sudo passwd usuario2

Configuración de SSHD

Vamos a editar /etc/ssh/sshd_config para que el demonio de SSHD reconozca y gestione adecuadamente los usuarios del grupo sftp: Lo primero cambiamos la línea que define el Subsystem sftp:

# Subsystem sftp /usr/lib/openssh/sftp-server
Subsystem sftp internal-sftp

1 2	# Subsystem sftp /usr/lib/openssh/sftp-server Subsystem sftp internal-sftp

Y, al final del fichero de configuración añadimos:

Match Group sftp
  ChrootDirectory %h
  X11Forwarding no
  AllowTcpForwarding no
  ForceCommand internal-sftp -f LOCAL7 -l INFO

Match Group sftp

ChrootDirectory %h

X11Forwarding no

AllowTcpForwarding no

ForceCommand internal-sftp -f LOCAL7 -l INFO

Los registros

Por defecto no vas a ver ningún registro para la actividad del sftp, solo los habituales de sshd «session opened» y «session closed» en /var/log/auth.log El problema es que como los usuarios del grupo sftp están «enjaulados» en su propio directorio, no tienen acceso para escribir en los registros del sistema. De modo que hay crear un socket en su propio directorio para encauzar los registros al nuevo fichero de registro sftp.log. Primero creamos un directorio /dev en cada una de las home de los usuarios sftp:

$ sudo mkdir -m2755 ~usuario1/dev
$ sudo mkdir -m2755 ~usuario2/dev

1 2	$ sudo mkdir -m2755 ~usuario1/dev $ sudo mkdir -m2755 ~usuario2/dev

Ahora configuramos rsyslog para que genere los registros creando el fichero /etc/rsyslog.d/60-sftp.conf con este contenido:

# Crea un socket de los directorios enjaulados para permitir el logging
$AddUnixListenSocket /var/ftp/usuario1/dev/log
$AddUnixListenSocket /var/ftp/usuario2/dev/log

# Parsea los registros de nivel INFO y LOCAL7 en /var/log/sftp.log
LOCAL7.info /var/log/sftp.log

# Registra logins and logoffs
:syslogtag,startswith,"sftp-server" /var/log/sftp.log

# Crea un socket de los directorios enjaulados para permitir el logging

$AddUnixListenSocket /var/ftp/usuario1/dev/log

$AddUnixListenSocket /var/ftp/usuario2/dev/log

# Parsea los registros de nivel INFO y LOCAL7 en /var/log/sftp.log

LOCAL7.info /var/log/sftp.log

# Registra logins and logoffs

:syslogtag,startswith,"sftp-server" /var/log/sftp.log

Por último reiniciamos los servicios implicados:

$ sudo service ssh restart && sudo service rsyslog restart

1	$ sudo service ssh restart && sudo service rsyslog restart