Я успешно использую vsftpd с виртуальными пользователями, подключающимися с помощью PAM к моей базе данных mysql. Теперь я хочу автоматизировать создание пользовательских каталогов при успешном подключении к vsftpd.
Вот конфигурация /etc/pam.d/vsftpd:
#%PAM-1.0
session optional pam_keyinit.so force revoke
auth required pam_mysql.so verbose=1 user=root passwd=mypass host=localhost db=mydb table=mytable usercolumn=username passwdcolumn=password crypt=3
account required pam_mysql.so verbose=1 user=root passwd=mypass host=localhost db=mydb table=mytable usercolumn=username passwdcolumn=password crypt=3
session required pam_mkhomedir.so skel=/home/skel/ umask=0022 debug
Добавление pam_mkhomedir теперь просто показывает, что он не может создать каталог без других сообщений в любом журнале. Так что это явно не применяется. Что еще мне нужно?
Мой /etc/vsftpd/vsftpd.conf:
# No ANONYMOUS users allowed
anonymous_enable=NO
# Allow 'local' users with WRITE permissions (0755)
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=NO
xferlog_enable=YES
connect_from_port_20=YES
# define a unique user on your system which the
# ftp server can use as a totally isolated and unprivileged user.
nopriv_user=vsftpd
chroot_local_user=YES
listen=YES
# here we use the authentication module for vsftpd to check users name and passw
pam_service_name=vsftpd
userlist_enable=YES
tcp_wrappers=YES
userlist_deny=YES
# here the vsftpd will allow the 'vsftpd' user to login into '/home/vsftpd/$USER directory
guest_enable=YES
guest_username=vsftpd
local_root=/home/vsftpd/$USER
user_sub_token=$USER
virtual_use_local_privs=YES
download_enable=NO
force_local_data_ssl=NO
force_local_logins_ssl=NO
# PASV - passive ports for FTP
pasv_enable=YES
pasv_min_port=14000
pasv_max_port=14100
Я видел сообщение о том, что мне это нужно в моем vsftpd.conf, поэтому я тоже попробовал это:
session_support=YES
Но теперь похоже, что он больше не аутентифицируется, как показывают журналы:
Mar 24 00:46:16 ip-10-212-239-40 vsftpd[1962]: pam_keyinit(vsftpd:session): Unable to look up user "user1"
Mar 24 00:46:16 ip-10-212-239-40 vsftpd[1962]: pam_mkhomedir(vsftpd:session): User unknown.
Это даже если я уже создал каталог. Теперь никто не может войти.
Любые идеи?
Короткий ответ: вы смешиваете учетные данные системы и службы и не должны (не можете?) Использовать pam_mkhomedir с виртуальными пользователями в vsftpd.
pam_mkhomedir предназначен для создания локальных каталогов пользователей и предполагает, что пользователь определен в системе. Виртуальные пользователи в vsftpd не пользователи системы (по замыслу) и, как таковые, не имеют никаких привилегий за пределами службы vsftpd (система не знает этих пользователей). Использование PAM для аутентификации - это только передача проверки учетных данных пользователя (имя пользователя + пароль ==> OK). Это может сбивать с толку при использовании виртуальных пользователей, поскольку vsftpd также можно настроить для использования системных пользователей с PAM.
Когда вы создаете домашний каталог для виртуальный пользователь, вы должны сделать учетную запись / группу службы vsftpd владельцем папки и поместить «виртуальный домашний каталог» в путь службы vsftpd с соответствующими разрешениями для службы vsftpd. Я не уверен, какую проблему вы пытаетесь решить, но поскольку вы выполняете chroot в пользовательском сеансе, я предполагаю, что вы пытаетесь создать некоторую изоляцию между пользователями. Поскольку вы должны создать виртуального пользователя в своей пользовательской базе данных, чтобы он мог войти в систему, почему бы не создать одновременно домашний каталог? Я сделал это с помощью сценария для добавления / изменения / удаления пользователя, чтобы сохранить согласованность базы данных виртуальных пользователей и виртуальных домашних папок пользователя vsftpd. YMMV.
Просто помните, что с виртуальными пользователями вы работаете только в vsftpd, а не в системе.
Вы можете попробовать использовать pam_script - это модуль pam, который позволяет выполнять произвольные сценарии оболочки после открытия пользовательского сеанса (среди прочего).
Ты можешь найти pam_script Вот: https://github.com/jeroennijhof/pam_script. Его также можно установить с помощью диспетчеров пакетов, по крайней мере, я смог установить его с помощью apt-get.
Будьте осторожны, так как vsftpd, похоже, имеет некоторые проблемы с pam_script, по крайней мере, когда он отрицает аутентификацию, см. Мой нерешенный вопрос: vsftpd зависает после неудачной аутентификации pam_script. Однако в вашем случае это не должно быть проблемой.
Для успешного поиска пользователей модулем PAM необходимо включить модуль NSS для MySQL в nsswitch.conf(5). nss_mysql твой друг.