Я пытаюсь настроить VSFTPD с Winbind, чтобы ограничить пользователей, прошедших проверку подлинности Active Directory, только теми, кто принадлежит к определенной группе.
Я использую общий файл conf для vsftpd с небольшими изменениями:
$ cat /etc/vsftpd/vsftpd.conf
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
chroot_local_user=YES
allow_writeable_chroot=YES
local_root=/data/ftp
listen=YES
listen_ipv6=NO
pam_service_name=vsftpd
userlist_enable=YES
tcp_wrappers=YES
pasv_enable=Yes
pasv_max_port=51000
pasv_min_port=50000
port_enable=yes
local_max_rate=0
use_localtime=YES
session_support=YES
Winbind настроен, и сервер подключен к домену:
$ wbinfo -u
administrator
guest
...
В файлы конфигурации PAM я поместил эти файлы конфигурации:
$ cat /etc/pam.d/vsftpd
... (Default settings) ...
# Calls the vsftpd-winbind PAM config file:
auth include vsftpd-winbind
account include vsftpd-winbind
session include vsftpd-winbind
$ /etc/pam.d/vsftpd-winbind
auth required pam_env.so debug
auth required pam_winbind.so require_membership_of=GROUPNAME debug debug_state
auth sufficient pam_winbind.so require_membership_of=GROUPNAME debug debug_state
auth required pam_deny.so debug
account sufficient pam_winbind.so require_membership_of=GROUPNAME debug debug_state
account required pam_deny.so
password required pam_cracklib.so retry=3
password sufficient pam_unix.so nullok use_authtok md5 shadow
password required pam_deny.so
session required pam_mkhomedir.so skel=/etc/skel/ umask=0022
session required pam_limits.so
session required pam_unix.so
Когда я тестирую vsftpd, в / var / log / secure возвращается следующая ошибка:
Jun 15 16:48:01 localhost vsftpd[2615]: pam_unix(vsftpd:auth): authentication failure; logname= uid=0 euid=0 tty=ftp ruser=joao rhost=rj1.ticorporativa.alog.com.br user=joao
Jun 15 16:48:01 localhost vsftpd[2615]: pam_krb5[2615]: error reading keytab 'FILE:/etc/krb5.keytab'
Jun 15 16:48:01 localhost vsftpd[2615]: pam_krb5[2615]: TGT verified
Jun 15 16:48:01 localhost vsftpd[2615]: pam_krb5[2615]: authentication succeeds for 'joao' (joao@LAB-RJ2.VMWARE)
Jun 15 16:48:01 localhost vsftpd[2615]: pam_winbind(vsftpd:account): user 'joao' granted access
Jun 15 16:48:01 localhost vsftpd[2615]: pam_winbind(vsftpd:account): pam_parse: unknown option: require_membership_of=GROUPNAME
Первоначально я думал, что это синтаксическая ошибка, но я пробовал использовать несколько синтаксисов в файле конфигурации PAM:
require_membership_of=GROUPNAME debug debug_state
require_membership_of="GROUPNAME" debug debug_state
require_membership_of=DOMAIN\\GROUPNAME debug debug_state
require_membership_of="DOMAIN\\GROUPNAME" debug debug_state
require_membership_of=GROUP_SID debug debug_state
require_membership_of="GROUP_SID" debug debug_state
В этих синтаксисах с "DOMAIN \" я использовал справочную страницу PAM_WINBIND: https://www.samba.org/samba/docs/current/man-html/pam_winbind.8.html
Если я удалю "require_membership_of" из конфигурационного файла PAM, FTP будет работать, но, очевидно, фильтр членства в группе не применяется.
У кого-нибудь было что-нибудь подобное и может помочь?
Вы использовали руководство по Gentoo, верно? Я пытался использовать его, но у меня не получилось. Когда /etc/pam.d/vsftpd создается, он импортирует общий счет, Common-auth и общая сессия файлы. Если вы использовали pam-auth-update команда, PAM работает нормально, а вот vsftpd нет.
Если вы работаете с Debian, скопируйте содержимое из файлов выше, но измените его. Поместите следующий контент в /etc/pam.d/vsftpd:
auth required pam_winbind.so require_membership_of=GROUPNAME krb5_auth krb5_ccache_type=FILE cached_login try_first_pass
auth [success=3 default=ignore] pam_krb5.so minimum_uid=1000
auth [success=2 default=ignore] pam_unix.so nullok_secure try_first_pass
auth requisite pam_deny.so
auth required pam_permit.so
account [success=1 new_authtok_reqd=done default=ignore] pam_winbind.so
account requisite pam_deny.so
account required pam_permit.so
account required pam_krb5.so minimum_uid=1000
session [default=1] pam_permit.so
session requisite pam_deny.so
session required pam_permit.so
session optional pam_krb5.so minimum_uid=1000
session required pam_unix.so
session optional pam_winbind.so
session optional pam_systemd.so
session optional pam_mkhomedir.so
## Note: vsftpd handles anonymous logins on its own. Do not enable pam_ftp.so.
# See: https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/managing_smart_cards/pam_configuration_files
password required pam_cracklib.so retry=3
password sufficient pam_unix.so nullok use_authtok md5 shadow
password required pam_deny.so
Как видите, я не менял основной контент, я сделал лишь несколько изменений. Смотрите, что «порядок меняет результат». В файле @ common-auth @ строка pam_krb5.so идет первым, но если вы так выразитесь, все пользователи домена будут входить в систему по ftp. Итак, положите, что это обязательный в pam_winbind.so ТОЛЬКО нужное вам ИМЯ ГРУППЫ. После этого он ищет в pam_krb5.so. Это оператор И.
Важно: если вы удалите строку pam_permit.so, я не знаю почему, но это не сработает.
Попробуйте и удачи!