Problem mit vsftp und SSL

[gigigaga]

Servus Jungs,
ich bins wieder....

Die Tage wird meine neue 7170 von Batida kommen, dazu habe ich mir ein kleines Image gebaut.

Nun meine Frage:
1. Gibts irgendwo ein How-to, wie man ein Ssl-Zertifikat erstellt mit Openssl?

Das ist für mich bis dato die einzige Baustelle, da der Rest mit vsftp ja alles im Wiki super erklärt ist.
Aber ohne ssl macht für mich der ftp keinen Sinn.

Ich danke euch sehr für Eure Hilfe..

Beste Grüße

 

[sf3978]

Nun meine Frage:
1. Gibts irgendwo ein How-to, wie man ein Ssl-Zertifikat erstellt mit Openssl?

Im Freetz-WEB-IF (bei vsftpd) kann man Folgendes lesen:

Zertifikat&Key für Vsftpd. Wird nur für den Betrieb mit SSL benötigt.
[COLOR=red]Auf einem Rechner mit openssl kann ein passendes Zertifikat mit Schlüssel mit dem Befehl
 "openssl req -new -x509 -nodes -out vsftpd.pem -keyout vsftpd.pem" erstellt werden[/COLOR].

 

[Skaren]

Naja, "gespeichert" ist nicht der richtige Ausdruck. Die "tunables.c" hat 302 Zeilen und beinhaltet source code mit default Werten. Evtl. mit einem Linux-Editor mal reinschauen: source/target-mipsel_uClibc-0.9.**/vsftpd-2.3.*/tunables.c

Könntest du das mit der "tunables.c" nochmal ein bisschen näher erklären?

Bei Änderungen an vsftp schaue ich immer per Telnet direkt auf die Fritzbox und dort finde ich dann nur die vsftpd.conf. In dieser Datei habe ich folgende Einstellungen über "Freetz Weboberfläche -> VSFTPD -> Zusätzliche Konfigurationsoptionen (für Experten)" hinzugefügt:

idle_session_timeout=300
data_connection_timeout=300

Leider bricht der Server anschließend die Verbindung immer noch nach einer bestimmten Zeit ab.

 

[sf3978]

In dieser Datei habe ich folgende Einstellungen über "Freetz Weboberfläche -> VSFTPD -> Zusätzliche Konfigurationsoptionen (für Experten)" hinzugefügt:

idle_session_timeout=300
data_connection_timeout=300

Leider bricht der Server anschließend die Verbindung immer noch nach einer bestimmten Zeit ab.

Was meinst Du mit "nach einer bestimmten Zeit"? Mit deiner Konfiguration, sollte der Server nach 5 Minuten abbrechen. Wie stellst Du den Abbruch der Verbindung fest, am Client oder am Server?

 

[Skaren]

Was meinst Du mit "nach einer bestimmten Zeit"? Mit deiner Konfiguration, sollte der Server nach 5 Minuten abbrechen. Wie stellst Du den Abbruch der Verbindung fest, am Client oder am Server?

Ja du hast recht, der Server bricht nach 5 Minuten ab. Den Abbruch der Verbindung stelle ich am Client über FileZilla fest, mit folgender Meldung:

Error:	GnuTLS error -8: A record packet with illegal version was received.
Error:	Disconnected from server: ECONNABORTED - Connection aborted

Ich hatte gehofft, das man die Verbindung zwischen Server und Client irgendwie permanent halten kann. Du sagtest ja auch, dass ein "guter" Server die Verbindung nicht abbricht.

 

[sf3978]

Ich hatte gehofft, das man die Verbindung zwischen Server und Client irgendwie permanent halten kann.

Auch wenn ich keinen Nutzen darin sehe, versuch mal den Server mit:

idle_session_timeout=[COLOR=red]86400[/COLOR]
data_connection_timeout=[COLOR=red]86400[/COLOR]

zu konfigurieren und beobachte was passiert.

Du sagtest ja auch, dass ein "guter" Server die Verbindung nicht abbricht.

Ich meinte damit, innerhalb der default-Werte bzw. innerhalb der konfigurierten Werte und dass ein Client, keine FTP-Verbindungserhaltungsbefehle senden muss.

 

[gigigaga]

Zwischenfrage

Im Freetz-WEB-IF (bei vsftpd) kann man Folgendes lesen:

Zertifikat&Key für Vsftpd. Wird nur für den Betrieb mit SSL benötigt.
[COLOR=red]Auf einem Rechner mit openssl kann ein passendes Zertifikat mit Schlüssel mit dem Befehl
 "openssl req -new -x509 -nodes -out vsftpd.pem -keyout vsftpd.pem" erstellt werden[/COLOR].

So habe nun mit openssl mit diesem Code eine Datei erstellen lassen: vsftpd.pem

Okay, diese Datei lade ich dann in vsftp hoch. Okay.

Grundfragen:
1. Dieses Zertifikat schützt nun meinen Datentransfer.

----Braucht nun der Client, der auf meinen Server zugreifen möchte, nun nicht auch dieses Zertifikat oder einen Schlüssel?
----------Habe noch keine Ahnung von diesem Prinzip. Denke aber es ist so wie das Schlüssel-Schlossprinzip.
Ist das so korrekt?

Oder bin ich falsch?

Beste Grüße
und DANKE

 

[sf3978]

----Braucht nun der Client, der auf meinen Server zugreifen möchte, nun nicht auch dieses Zertifikat oder einen Schlüssel?

Der Client wird für "FTP über explizites TLS/SSL" konfiguriert und entscheidet beim Verbindungsaufbau, ob er das Zertifikat des Servers akzeptiert. Wenn ja, dann wird die TLS/SSL-Verbindung hergestellt:

Status:    Auflösen der IP-Adresse für ####.###.net
Status:    Verbinde mit xx.xxx.xx.x6:yyyyy...
Status:    Verbindung hergestellt, warte auf Willkommensnachricht...
Antwort:    220-"Your ID has been logged."
Antwort:    220 
Befehl:    [COLOR=red]AUTH TLS[/COLOR]
Antwort:    234 Proceed with negotiation.
Status:    [COLOR=red]Initialisiere TLS...[/COLOR]
Status:    [COLOR=red]Überprüfe Zertifikat...[/COLOR]
Befehl:    USER y<y<y<y
Status:    [COLOR=red]TLS/SSL-Verbindung hergestellt.[/COLOR]
Antwort:    331 Please specify the password.
Befehl:    PASS ********
Antwort:    230 Login successf****
Befehl:    SYST
Antwort:    215 UNIX Type: L8
...
...

 

[Skaren]

Ich meinte damit, innerhalb der default-Werte bzw. innerhalb der konfigurierten Werte und dass ein Client, keine FTP-Verbindungserhaltungsbefehle senden muss.

Okay, dann habe ich dich nur Missverstanden. Damit wären dann alle meine Fragen geklärt. Ein großes Danke für die Beantwortung!

Okay, diese Datei lade ich dann in vsftp hoch. Okay.

Nochmal die kurze Bemerkung, da ich da länger Probleme damit hatte. Du musst die *.pem Datei nicht in die FritzBox hochladen, sondern den Inhalt der Datei in der Weboberfläche von Freetz (VSFTPD -> Cert+Key) in das Textfeld einfügen.

 

[sf3978]

Nochmal die kurze Bemerkung, da ich da länger Probleme damit hatte. Du musst die *.pem Datei nicht in die FritzBox hochladen, sondern den Inhalt der Datei in der Weboberfläche von Freetz (VSFTPD -> Cert+Key) in das Textfeld einfügen.

Ja, das ist der einfachere Weg und damit ist die Datei, in die FritzBox geladen:

root@fritz:/var/mod/root# find / -iname 'vsftpd.pem'
[COLOR=red]/var/tmp/flash/vsftpd.pem[/COLOR]

EDIT:

klick

 

[gigigaga]

Ihr seid ihr richtig SUPER!!!

Danke euch sehr, sobald die Box da ist und das Image drauf ist, werde ich mich hier bestimmt nochmal melden ;-)

Greetz

 

[gigigaga]

Nochmal die kurze Bemerkung, da ich da länger Probleme damit hatte. Du musst die *.pem Datei nicht in die FritzBox hochladen, sondern den Inhalt der Datei in der Weboberfläche von Freetz (VSFTPD -> Cert+Key) in das Textfeld einfügen.

mmmh. Ich finde in der Freetz-Weboberfläche nur unter Einstelleungen die vsftp.pem
wenn ich da drauf drück, dann kommt eine Fehlermeldung.

ungültige Datei

Ich kann lediglich in dem Fenster:

Konfiguration für Experten

noch was reinschreiben....


Grüße

 

[sf3978]

mmmh. Ich finde in der Freetz-Weboberfläche nur unter Einstelleungen die vsftp.pem

Mit welchen Optionen (make menuconfig) hast Du dein vsftpd kompiliert?
Das Untermenu "Cert+Key" gibt es bei dir nicht, im Freetz-WEB-IF?

 

[gigigaga]

Ich habe im make menuconfig mit ssl Support ausgewählt.

Das Untermenü ist bei mir nicht vorhanden....

 

[sf3978]

Das Untermenü ist bei mir nicht vorhanden....

Poste mal die Ausgabe von:

find / -iname 'vsftpd*def'

aus deiner Box.

 

[gigigaga]

Servus,

hier die Ausgabe der Box:

/var/mod/root # find / -iname 'vsftpd*def'
/etc/default.vsftpd/vsftpd_crt.def

Grüße

 

[sf3978]

Versuch jetzt mal mit der IP-Adresse deiner Box:

http://192.168.xxx.xxx:81/cgi-bin/file/vsftpd/crt

 

[gigigaga]

Schade, leider diese Fehlermeldung:

404 Not Found

The requested URL was not found

mmmhhh?

 

[sf3978]

mmmhhh?

Poste mal die Ausgabe von:

[COLOR=red]strings -f /usr/sbin/vsftpd | grep SSL[/COLOR]

aus deiner Box, oder wenn Du ldd auf deiner Box hast, die Ausgabe von:

ldd /usr/sbin/vsftpd

 

[gigigaga]

Oje, ich sehs schon....

/var/mod/root # strings -f /usr/sbin/vsftpd | grep SSL
/usr/sbin/vsftpd: SSL connection failed
/usr/sbin/vsftpd: AUTH SSL
/usr/sbin/vsftpd: SSL: ssl_enable is set but SSL support not compiled in
/usr/sbin/vsftpd: SSL handler

Irgendwie wurde der SSl Support wohl nicht mit reingepackt....oder???

Grüße und DANKE