Dotaz: Problematika SFTP, FTPS

[David]

Muze mi nekdo vysvetlit jak presne funguje SFTP?

FTPS chapu, ale tohle me trosku mate.

Respektive kdyz to nema s FTP nic spolecnyho, jak se tam ty soubory vlastne prenasi? SSH by se melo starat o autentikaci. A vlastni SFTP protokol by se mel starat o prenos.

A kdyz uz sem v tom nasel jsem na netu tuhle sluzbu SafeTP, odhaduju ze to bude fungovat podobne jako FTPS. Akorat sifrovani misto TLS pomoci SSL. Sem mimo, nebo to ma hlavu a patu? Dystak mi nekdo vyvedte z omylu.

Co sem brouzdal po netu, tak jsou tam spis takovy obecny plky, ale do hloubky to moc nejde. Na RFC sem moc se svou anglictinou nemel nervy.

Jinak svuj dotaz jeste trosku rozsirim, jak je to s FTPS a firewallem, resp. jak fungují spojení typu implicit a explicit. Jediny co sem nasel, ze tydle 2 mody existujou, nektery FTP to umi, nektery ne, nektery jen jeden, nektery i oba, a na implicit se pripojuji pres port 990 a explicit 21. Jenze nejak nepobiram souvislosti tj. kde jsou data, kde prikazy a jak ta kulisarna osetrena pro firewally.

Budu moc rad kdyz mi v tom pomuzete udelat trosku jasno.

Odpovědi

[razor]

No pomoci ssh si soubor přeneseš třeba takhle: ssh user@pocitac cat soubor > lokalni_soubor. No a sftp je vlastně takový "wraper" nad ssh ,který má podobnou "syntaxi" jako ftp.

[David]

Vida, to me nenapadlo. To je pekne, ale lepsi bude asi scp, ktere ma stejne autentizaci podle RSA/DSA klicu a zkousne soubory do 4GB(jestli se nemylim), mimochodem jak velke soubory se s tim daji prenaset?

[razor]

Ad SCP. SSH samozřejmě autentizaci podle klíčů umožňuje. SCP je vlastně opět "user interface" k SSH aby to mělo podobnou "syntaxi" jako cp.

[Libor Klepac]

ad ftps a firewall

kdyz jsem to nekde nastavoval, tak jsem musel v proftpd nastavit rozsah portu pro pasivni ftp a pak je povolit ve firewallu, protoze conntrack to nepobere, protoze je ta ftp komunikace sifrovana a on to nemuze odspionovat ;)

[David]

Jj, to prave vim, ja jestli to nejde udelat nejak jinak? Koneckoncu takhle mam diru v bezpecnosti s otevrenym portem, nebo ne?

[jm]

Jj, to prave vim, ja jestli to nejde udelat nejak jinak?

Ne, nejde...

[Libor Klepac]

stejnak mas otevreny port 21 i bez toho, tak co? tyhle porty jsem dal az nekam k 50000, dokonce je tam i nejaky "posveceny" rozsah ... a na tech portech neco posloucha jenom behem prenosu

[core]

prave ze tam ftp demon posloucha jen behem prenosu jinak jsou ty porty volne a muze se tam kdokoliv na lokalu nabindovat

[_]

ne pokud je to mimo (sysctl) net.ipv4.ip_local_port_range

[Libor Klepac]

no tak to osetrit pres -m owner , to snad jde, ne? (i kdyz je to na INPUT) ;)