Lessons / Lesson 2: Services de partage de fichiers, révision

• portmap : gère les requêtes RPC. Remplacé par rpcbind sur Red Hat 6/7/8.
• nfsd : lance les threads NFS pour les connexions clientes.
• mountd : gère les requêtes de montage des clients.

anonymous_enable (connexion anonyme), local_enable (comptes locaux), write_enable (création et modification), chroot_local_user (emprisonner les utilisateurs dans un répertoire), local_root (répertoire partagé). Valeurs YES / NO pour la plupart.

exportfs -a

exportfs seul affiche les partages actifs, utile pour vérifier ensuite.

exportfs 192.168.1.20:/srv/docs

Le @client du cours est un emplacement : on écrit l’adresse directement. Ce partage disparaît au redémarrage du service.

showmount -e 192.168.1.10

-e affiche la liste d’exports du serveur.

testparm

Attention : la sortie omet les paramètres réglés à leur valeur par défaut. Ne pas en conclure qu’ils manquent.

smbpasswd -a ali

Le compte doit déjà exister sous Linux. -a stocke la version MD4 du mot de passe à part (/etc/samba/smbpasswd).

smbpasswd -d ali

Retour : smbpasswd -e ali. Suppression définitive : smbpasswd -x ali.

smbclient //192.168.1.10/compta -U ali

Ensuite cd, get, put comme en FTP.

pure-ftpd --anonymousonly

Il faut un compte ftp sur le serveur. Les anonymes travaillent dans /home/ftp.

/srv/public    *(ro)
/srv/projets   192.168.1.0/24(rw,sync)

Pas d’espace entre le client et la parenthèse : 192.168.1.0/24 (rw) donnerait rw à tout le monde et les options par défaut au réseau. Puis exportfs -a.

[compta]
   comment = Partage de la comptabilité
   path = /srv/compta
   browseable = yes
   writable = yes
   valid users = @comptables

@ désigne un groupe. Puis testparm pour valider. Chaque comptable a aussi besoin de smbpasswd -a.

Le contrôle passe toujours par le port 21 du serveur. Le passif passe mieux chez le client : un pare-feu ou un NAT bloque en général les connexions entrantes, donc la connexion du serveur en mode actif. En contrepartie, le pare-feu du serveur doit laisser passer sa plage de ports dynamiques.

• Ponctuel : exportfs client:/chemin, en interactif. Perdu au redémarrage du service.
• Permanent : une ligne dans /etc/exports, lue à chaque démarrage du service ou par exportfs -a.

• root_squash (par défaut) : l’uid 0 du client est remplacé par un compte de service (nfsnobody, nobody…). Le root client n’a aucun pouvoir particulier.
• no_root_squash : le root client garde ses prérogatives sur le partage.

smbclient ouvre une session interactive de type FTP (get, put) : utile pour tester un partage ou récupérer un fichier. mount -t cifs monte le partage dans l’arborescence : tous les programmes y accèdent comme à un dossier local.

Le client Windows présente un mot de passe haché en MD4, alors que Linux stocke un hash d’un autre algorithme. Un hash ne se convertit pas en un autre : le serveur doit stocker sa propre version MD4, créée par smbpasswd -a au moment où l’on tape le mot de passe en clair.

(Le cours dit « MD5 en général » pour Linux : les distributions actuelles utilisent plutôt SHA-512 ou yescrypt. L’argument ne change pas.)

Aucune identification : le client annonce un uid, et le serveur lui donne les droits de l’utilisateur qui a cet uid chez lui. Quiconque est root sur sa propre machine peut créer un compte avec l’uid de sa victime et lire ses fichiers. root_squash ne protège que l’uid 0. La seule barrière est la liste des clients autorisés dans /etc/exports.

FTP transmet tout en clair, mot de passe compris. Un attaquant qui écoute le réseau récupère l’identifiant et le mot de passe du compte Linux, valables aussi pour SSH ou la console, pas seulement pour FTP.

Chaque opération se fait une à une (open, authentification, ls, get…) : en cas de panne, on voit exactement quelle étape échoue. C’est un outil de diagnostic.

1. Comptes Linux des employés, dans un groupe rh.
2. Section [rh] dans smb.conf : path = /srv/rh, writable = yes, valid users = @rh. Dans [global] : security = user, encrypt passwords = true.
3. testparm pour valider.
4. smbpasswd -a <compte> pour chaque employé (mot de passe MD4).
5. Droits Linux sur /srv/rh cohérents avec le groupe : Samba ne peut pas donner plus que le système de fichiers.
6. Contrôle : smbclient -L <serveur> -U <compte>, puis smbstatus côté serveur.

root_squash est appliqué par défaut : le root du client devient nfsnobody, qui n’a pas le droit d’écrire dans /srv/backup.

• Solution 1 : no_root_squash sur cet export, limité à l’IP du serveur de sauvegarde. Simple, mais un root compromis de ce côté aura les pleins pouvoirs sur le partage.
• Solution 2 (préférable) : faire tourner la sauvegarde avec un compte dédié non-root, avec le même uid des deux côtés, propriétaire du répertoire.

Le canal de contrôle (port 21) fonctionne, mais le canal de données n’arrive pas : en mode actif, c’est le serveur qui se connecte au client, et le NAT ou le pare-feu de la box bloque cette connexion entrante.

Correction : passer le client en mode passif (c’est le client qui ouvre le canal de données), et ouvrir côté serveur la plage de ports dynamiques passifs.

L’espace avant la parenthèse sépare deux clients : 192.168.1.0/24 reçoit les options par défaut (lecture seule), et (rw) sans client s’applique à tout le monde. Il faut 192.168.1.0/24(rw), collé.

Il manque smbpasswd -a sara. Samba a besoin de la version MD4 de son mot de passe, que passwd ne crée pas.

testparm omet les paramètres réglés à leur valeur par défaut. browseable = yes est la valeur par défaut : la ligne est bien lue, elle est juste redondante.

Le mode ne change que qui ouvre le canal de données. Actif ou passif, FTP transmet tout en clair, mot de passe compris.

N’importe quelle machine du réseau peut monter le partage, et tout root d’une de ces machines a les pleins pouvoirs sur les fichiers : lire, écraser, changer les propriétaires, déposer un exécutable setuid root. C’est la pire combinaison possible.

NFS ne compare que les uid, pas les noms : ahmed obtient sur le partage tous les droits de sara, et voit ses fichiers comme s’ils étaient à lui. D’où l’importance d’uid cohérents entre machines.