Synology-Forum.nl
Firmware => Synology DSM BETA versies => Topic gestart door: redneck eyeball op 22 januari 2016, 12:42:29
-
Ik probeer via SCP in te loggen als root.
Heeft altijd gewerkt, maar nu krijg ik telkens de melding 'access denied'
Inloggen met een andere account werkt wel nog, maar dan heb ik geen rechten om bestanden aan te passen.
pwd van root heb ik hetzelfde als admin
In de releasenotes van DSM staat dit
Root account is replaced by administrators group credentials to log into SSH to enhance security.
Ik snap alleen niet wat ze daarmee bedoelen, maar het zal zeker wel de oorzaak zijn ik niet als root kan inloggen.
Kan iemand uitleggen hoe het moet ?
-
Waarschijnlijk inloggen met een gebruiker die in de administrators group zit.
-
Met mijn eigen account (ik zit in de admin group) kom ik via SCP wel bij alles bij, maar een file aanpassen wil niet lukken.
scp: /usr/syno/synoman/webman/3rdparty/CFE/getfile.cgi: Permission denied
-
Ik denk dat dit voor mensen die SCP gebruiken een probleem gaat worden, je hebt nu voor bestanden in dat soort directory's alleen nog maar leesbevoegdheid.
Als je via SSH inlogt kun je na inlog switchen naar root, maar met SCP lukt dat volgens mij niet.
-
... Root account is replaced by administrators group credentials to log into SSH to enhance security. ...
Als je via de command-line wil inloggen om normal niet toegangkelijke zaken aan te passen,
moet/moest je inloggen als de user "root" en als wachtwoord het wachtwoord van het standard admin-account
(en dus niet het wachtwoord van enig ander account, ook al is zo'n ander account lid van de groep administrators).
Ik schrijf moet/moest, want de release notes lijken te suggereren dat bovenstaande niet langer het geval is
en dat in plaats daarvan met om het even welke user/password combinatie mag worden ingelogd,
mits lid van de groep administrators.
-
Zo was het inderdaad, maar het blijkt niet te werken.
Niet met admin, niet met mijn eigen login.
Met username root kan ik niet eens meer inloggen, access denied zegt hij
Wat uitleg over hoe ik die SSH kan opzetten en dan users switchen zou handig zijn, want ik heb daar geen ervaring mee.
Eens ik terug root toegang heb kan ik de bestanden van de Config Editor aanpassen en die hopelijk toch weer aan de gang krijgen.
Ik had speciaal gewacht op de nieuwe beta om naar 6 om te schakelen, maar helaas ... ::)
-
Log eerst in met SSH met een admin account,
Daarna typ je;
sudo su -
Typ daarna je root password, ... en je hebt root toegang....
Groetjes hYp
-
Geweldig ;D
Met putty kan ik op deze manier inloggen als root. Getest en dit werkt.
Alleen ... ik heb nu geen flauw idee hoe mij dat helpt om die bestanden te editen.
Zeg nu niet dat ik vanaf nu enkel nog met vi mag werken ... want dat lijkt me niet handig.
-
Ik gebruik zelf Midnight Commander, daar zit een editor in...
Je kunt Midnight Commander vinden onder de packages... Eenmaal ingelogt met SSH typ je dan
mc
en je hebt een prima file manager en editor..
hYp
-
Dankjewel voor de tip.
Met MC kan je toch al iets nuttigs doen.
Nu nog uitzoeken hoe je die security settings terug 'normaal' kunt krijgen.
Want dit zal mogelijk ook aan de basis liggen van de andere problemen die ik heb in beta2
Namelijk de Config File Editor die blijft klagen dat ik geen admin ben ... en de webconsole die error 403 access dienied geeft.
-
In WinSCP kun je volgens mij onder Geavanceerd in het aanmeldscherm ook sudo su - aangeven.
-
Daarna typ je;
sudo su -
Er is inderdaad het een en ander veranderd. Onder DSM 5.2 kon ik alleen als 'root' inloggen. Met een administrator account inloggen werkte niet. Daar werd het wachtwoord geweigerd.
Met de nieuwe 6.0 beta update, kan ik niet meer met root inloggen. (Mijn admin account zelf is uitgeschakeld). Maar nu kan ik wel met mijn gewone account inloggen en rootfiles bekijken.
Ik krijg wel de volgende foutmelding:
$ ssh Briolet@nas2
Briolet@nas2's password:
Could not chdir to home directory /var/services/homes/Briolet: Permission denied
-sh: /var/services/homes/Briolet/.profile: Permission denied
Vreemd root-files mag ik bekijken maar '/volume1/homes' geeft al een access denied.
Het 'sudo' commando van hYp laat me inderdaad switchen naar het root account:
Briolet@BackupNas:/$ ls /volume1/homes
ls: cannot open directory /volume1/homes: Permission denied
Briolet@BackupNas:/$ sudo su -
We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:
#1) Respect the privacy of others.
#2) Think before you type.
#3) With great power comes great responsibility.
Password:
root@BackupNas:~# ls /volume1/homes
admin @eaDir Briolet iMac-DDR2 iMac-DDR3 Silvermoon SynologyCMS
-
Uit het eerste stuk van de 'su' manual:
NAME
su -- substitute user identity
SYNOPSIS
su [-] [-flm] [login [args]]
DESCRIPTION
The su utility requests appropriate user credentials via PAM and switches to that user ID (the default user is the supe-
ruser). A shell is then executed.
PAM is used to set the policy su(1) will use. In particular, by default only users in the ``admin'' or ``wheel'' groups can
switch to UID 0 (``root''). This group requirement may be changed by modifying the ``pam_group'' section of /etc/pam.d/su.
See pam_group(8) for details on how to modify this setting.
By default, the environment is unmodified with the exception of USER, HOME, and SHELL. HOME and SHELL are set to the target
login's default values. USER is set to the target login, unless the target login has a user ID of 0, in which case it is
unmodified. The invoked shell is the one belonging to the target login. This is the traditional behavior of su.
The options are as follows:
-f If the invoked shell is csh(1), this option prevents it from reading the ``.cshrc'' file.
-l Simulate a full login. The environment is discarded except for HOME, SHELL, PATH, TERM, and USER. HOME and SHELL
are modified as above. USER is set to the target login. PATH is set to ``/bin:/usr/bin''. TERM is imported from
your current environment. The invoked shell is the target login's, and su will change directory to the target
login's home directory.
- (no letter) The same as -l.
-m Leave the environment unmodified. The invoked shell is your login shell, and no directory changes are made. As a
security precaution, if the target user's shell is a non-standard shell (as defined by getusershell(3)) and the
caller's real uid is non-zero, su will fail.
-
In WinSCP kun je volgens mij onder Geavanceerd in het aanmeldscherm ook sudo su - aangeven.
Helaas heb ik die optie niet kunnen vinden of ik kijk verkeerd ?
-
@Birdy
Bij een bestaand profiel op edit klikken en dan geavanceerd, dan bijSCP/Shell rechts bij Shell sudo su - selecteren
-
@Robstar
Helaas geeft hij dan: Fout tijdens het overslaan van het opstartbericht. Uw shell is mogelijk niet compatibel met de toepassing (BASH wordt aangeraden).
-
[attachimg=1]
-
@Alwin Hummels dat komt dus omdat /bin/sh niet meer wordt meegegeven.
-
Dit is behoorlijk waardeloos.
Als winscp niet meer te gebruiken is, neemt voor mij het nut van een Nas behoorlijk af.
-
Mee eens, ben nog steeds aan het testen maar, als mijn ideeen al niet werken in CLI dan werkt het ook niet voor WinSCP :'(
-
Las net op het Engelse forum, dat iemand ook niets meer met winscp kon en toen merkte dat Dsm 6 de standaard ssh poort gewijzigd had.
Terugzetten naar 22 was de oplossing.
Kan zelf niet testen want ik heb geen Nas met Dsm 6.
-
TX....maar, heeft bij mij altijd al op 22 gestaan, nu dus ook ;)
-
bummer.
too easy to be true
-
Nou, ik heb van alles geprobeerd om WinSCP aan de praat te krijgen als root.
Met van alles bedoel ik dus, via de reguliere Linux procedures dus, aanpassingen gemaakt in b.v.:
/etc/ssh/sshd_config
/etc.defaults/ssh/sshd_config
Rebooten natuurlijk enz.
M.a.w. ik zie geen mogelijkheden om met WinSCP als root in te loggen, krijg steeds "Toegang geweigerd".
Ik denk dat Synology zelf iets hardcoded danwel een andere weg heeft gevonden om te voorkomen dat je met root (SSH) kan inloggen.
Misschien dat iemand, op welk Forum dan ook, kan ontdekken hoe het wel kan.
Aan de andere kant is het natuurlijk een beveiligings overwegen geweest van Synology.
Ik ga in iedergeval eens op zoek naar een andere GUI oplossing of dan toch Midnight Commander gebruiken.
Alhoewel ik zelf geen problemen heb om PuTTY te gebruiken en na inloggen als admin te switchen naar root maar, niet iedereen wil dit graag of heeft niets of weinig verstand van CLI.
Ga nu eerst maar weer even m'n test DS herinstalleren met Beta2 zodat het uitgangspunt weer standaard is ;D
-
@Birdy heel erg bedankt voor je ondernomen pogingen, helaas zullen we het iig voorlopig met putty moeten stellen.
-
Denk dat we allemaal dit als klacht bij Synology moeten inschieten.
Ik vind het echt te ver gaan dat zij bepalen of we dit als root kunnen doen of niet.
Als het een setting is die je aan of uit kunt zetten ok, maar dit voelt als bevoogding.
-
Wellicht veranderen ze het nog het is en blijft immers een Beta ;)
-
Eens met Ben(V), ik ga een ticket inschieten, moet gewoon een optie zijn die standaard uit moet staan dus, standaard mag root niet inloggen, zet je de optie aan, dan weet je ook wat de risico's zijn.
-
Jullie hebben het er allemaal over met dat /bin/sh. Dat hoeft helemaal niet meer.
Hier werkt winscp gewoon zonder enige aanpassing.
Nog niet met root in DSM 6 maar ook in 5.2 nooit deze wijziging hoeven aan te brengen.
Heb meerdere malen mijn laptop opnieuw geïnstalleerd dus ook winscp en werkte in 5.2 altijd direct perfect met root.
-
Op het Engelse forum (http://forum.synology.com/enu/viewtopic.php?f=260&t=109518&hilit=root) is hier natuurlijk ook een discussie over. Ik maak er uit op dat de meningen verdeeld zijn, maar dat het tegenwoordig toch gebruikelijk is om root acces uit te zetten. Ik zie daar heel goede argumenten zodat Synology dit vast niet gaat terugdraaien. Hooguit aanpassen voor ervaren gebruikers.
De truck met "sudo su" om van user te wisselen is aardig, maar je kunt ook gewoon 'sudo' gebruiken bij elk gevoelig commando vanuit je administrators account. Op de mac weet ik niet anders. In elk geval lijkt me dat zoiets wel met WinSCP moet werken. (edit: :oops: WinSCP is een grafisch oppervlak.)
"sudo' is niet voor niets toegevoegd. Onder DSM 5.2 en ouder, kon je geen 'sudo' gebruiken en werd je geacht als 'root' in te loggen.
-
Van de website van winscp.;
Misschien iets om te proberen door iemand die een DSM 6 ergens heeft draaien.
In some cases (with Unix/Linux server) you may be able to use sudo command straight after login to change a user, before file transfer session starts.
FTP protocol does not allow this.
The SFTP and SCP protocols allow for this, but the actual method is platform dependent.
With SFTP protocol, you can use SFTP server option on SFTP page of Advanced Site Settings dialog to execute SFTP binary under a different user. With OpenSSH server, you can specify:
sudo /bin/sftp-server
Note that SFTP server binary may be located elsewhere2) (e.g. in /usr/lib/sftp-server, /usr/lib/openssh/sftp-server or /usr/libexec/openssh/sftp-server).
With SCP protocol, you can specify following command as custom shell on the SCP/Shell page of Advanced Site Settings dialog:
sudo -s
However you will not be able to provide a password for su (see remote command execution limitations). So you may be able to do the above only if you are allowed to do sudo su without being prompted with password. See sudo documentation to learn how to do that. For example you can add following line to sudoers file (/etc/sudoers):
yourusername ALL=NOPASSWD: ALL
The above line is very permissive, it allows user yourusername connected from anywhere (the first ALL) to run any command (the second ALL) as a root without being asked for password. So you should restrict it as much as possible.
For example with OpenSSH you may restrict it only to SFTP session by:
yourusername ALL=NOPASSWD: /bin/sftp-server
Note that as WinSCP cannot implement terminal emulation, you need to have sudoers option requiretty turned off (what is default).
Hier de link naar dit verhaal de de link naar de sudo documentatie waarnaar verwezen wordt.
https://winscp.net/eng/docs/faq_su
http://linux.die.net/man/8/sudo
-
Inloggen als ROOT met winSCP....SUCCES....
1. Eerst moeten we ROOT toegang hebben om de nodige aanpassingen te maken;
log in met putty met een admin account, typ daarna,
sudo su -geef het admin password in en je hebt root toegang.
2. We gaan nu het bestand sudoers aanpassen, zodat er na het geven van het sudo commando niet nogmaals om een password wordt gevraagd.
ga nu naar de sudoers file (/etc/sudoers), en open deze file in een editor (ik heb de editor van Midnight Commander gebruikt),
voeg als laatste de volgende regel toe,
USER ALL = NOPASSWD: ALLvervang USER door je admin username.
3. Nu nog winSCP aanpassen en als shell (sudo su -) gebruiken, dit werkt nu omdat er nu niet nogmaals om een password wordt gevraagd bij het sudo commando.
open nu winSCP
in win SCP ga je naar geavaneerd bij je inlogaccount, en kies je bij SCP SHELL voor de optie
sudo su -
... en winSCP werkt weer als ROOT...
Getest en werkt...
Natuurlijk kunnen we nu ook automatisch als ROOT met Putty inloggen
Bij de SSH opties van Putty vul je bij het veld Remote Command, het volgende in;
sudo su -Inloggen bij Putty doe je nu met je admin account, en je hebt dan gelijk root toegang.
Groetjes hYp
-
Ha....dat is grappig, ik had hetzelfde gedaan echter was TE gefocust op user root en niet op admin dus, dat zal de reden zijn dat het bij mij niet werkte :lol:
Zal weer testen met die aanpassing maar dan voor de gebruiker root. ;)
Kom erop terug.
-
Als jouw test ook werkt misschien een sticky van maken?
-
2. We gaan nu het bestand sudoers aanpassen, zodat er na het geven van het sudo commando niet meer om een password wordt gevraagd.
Ik vond deze tip ook elders (niet voor de synology nas), maar daar ging hij nog vergezeld van flinke waarschuwings teksten. Je zult je toegang dan wel via firewall regels moeten beperken om te voorkomen dat iedereen zonder wachtwoord rootaccess kan krijgen.
-
je moet toch nog steeds eerst met je admin account inloggen?
Alleen krijgt nu dit ene admin account gelijk root rechten, wat het tot voor deze beta 2 altijd al had.
Het is absoluut niet zo dat hierdoor alle admin accounts root toegang krijgen, alleen degene die je toegang geeft in de sudoers file.
We kunnen in ieder geval weer winSCP en Putty gebruiken als root.
hYp
-
@Ben(V)
Dan pas ik deze sticky weer aan. (http://www.synology-forum.nl/algemeen/nas-benaderen-met-ssh-winscp-putty/)
@Briolet
En SSH poort (22) wijzigen !
-
@Birdy
Goed plan
@Briolet
Misschien een scriptje maken die het aan en uit kan zetten.
Kun je het aanzetten als je Winscp nodig hebt en daarna weer uitzetten.
-
@hYp, dat klopt, maar je loopt toch meer risico. Als er b.v. een 0-day lek gevonden wordt, is de kans groter dat ze dit ook effectief kunnen misbruiken voor root acces.
-
Wilde weer gaan testen echter, loop overal spaak, in GUI mag ik ineens niets meer aanpassen en PuTTY mag niet connecten en nog meer duistere problemen :lol:
Ik ga nu eerst maar weer DSM6 herinstalleren (factory reset) ;D
-
@Briolet Dat risico hadden we toch altijd al in Versie 6 Beta1 en lager ?
-
Nou, DSM6 opnieuw geinstalleerd en getest, WinSCP werkt weer met schrijfrechten ;D
Was dus inderdaad eerst met gebruiker root bezig i.p.v. admin* in /etc/sudoers
Bedankt @hYp dat je me hebt wakker gemaakt. 8)
*In mij voorbeeld dus gewoon admin gebruikt maar moet dus eigenlijk een gebruiker zijn met admin rechten. ;)
login as: admin OF een gebruiker met administrator rechten (dus lid van de gebruikersgroep administrators)
admin@192.168.1.22's password:
admin@DS111-1:/$ sudo su -
Password: <zelfde password als je eerste login>
root@DS111-1:~# cd /etc
root@DS111-1:/etc# ls -l sudoers
-r--r----- 1 root root 281 Dec 27 20:16 sudoers
NOTE: File is READ ONLY dus, wijzigen:
root@DS111-1:/etc# chmod +w sudoers
root@DS111-1:/etc#
root@DS111:/etc# ls -l sudoers
-rw-r----- 1 root root 281 Dec 27 20:16 sudoers
root@DS111:/etc# vi sudoers
Toevoegen aan het eind van de file:
# Allow admin, or <user> with admin rights, root access without password
admin ALL = NOPASSWD: ALL
NOTE: Weer READ ONLY maken:
root@DS111:/etc# chmod -w sudoers
root@DS111:/etc# ls -l sudoers
-r--r----- 1 root root 383 Jan 24 12:21 sudoers
Zoals eerder aangegeven zal ik deze Sticky Topic weer aanpassen (http://www.synology-forum.nl/algemeen/nas-benaderen-met-ssh-winscp-putty/) (later op de dag) voor DSM6 en hoger. ;)
-
Ondertussen maar bedacht om het simpeller te maken voor leden zonder Linux en vi ervaring:
login as: admin OF een gebruiker met administrator rechten (dus lid van de gebruikersgroep administrators)
admin@192.168.1.22's password:
Vanaf hier de commando's copy en plak in PuTTY (plakken in PuTTY is rechter muisknop) verder altijd een <enter> geven na een commando.
Commando: sudo su -
Password: <zelfde password als je eerste login>
Commando: chmod +w /etc/sudoers
Commando: echo "" >> /etc/sudoers && echo "admin ALL = NOPASSWD: ALL" >> /etc/sudoers
Commando: chmod -w /etc/sudoers
Commando: exit
Commando: exit
NOTE: De kans is wel zeer groot dat je na een DSM update of upgrade dit weer moet herhalen.
Moet nog even wat dingetjes testen, daarna zal ik die Sticky aanpassen. ;D
-
Jullie hebben het er allemaal over met dat /bin/sh. Dat hoeft helemaal niet meer.
Er is een tijd geweest dan /bin/sh echt nodig was (http://www.synology-forum.nl/synology-dsm-5-1/op-ssh-inloggen-met-winscp-lukt-niet/msg132659/#msg132659) dus, was ik in de veronderstelling dat dit nog steeds nodig was.
Wat blijkt, het was een WinSCP (oudere versie) issue, het werkt n.l. hier nu ook weer op m'n DSM4 NASsen ;D
-
NAS benaderen met SSH: Windows en OSX (http://www.synology-forum.nl/algemeen/nas-benaderen-met-ssh-winscp-putty/msg134190/#msg134190)
Het Windows gedeelte is aangepast, OSX komt nog misschien (Heb zelf geen OSX n.l.).
-
Bij OSX zal het laatste stuk net zo gaan als met putty. De mac gebruikers zijn echter geen root acces gewend, maar doen alles met sudo. Beide methodes zullen werken maar ik tendeer om te adviseren om overal sudo voor te zetten, omdat dat toch al de standaard was voor root commando's op de mac.
-
Ik heb de beta van Winscp (via crossover op een iMac) geprobeerd maar krijg nu totaal geen toegang meer. Vanuit Terminal geen enkel probleem.
-
Krijg nou t**te :o
Alles ging goed, zoals jullie hierboven kunnen lezen, na het eten weer met WinSCP getracht in te loggen....lukt niet, kreeg netwerkfout, bovendien, Status ledje uit.
Kon wel inloggen in DSM via de browser maar, ontzettend traag, kijk ik met top, draait de CPU overuren dus, 100%.
De exacte processen weet ik niet meer maar het waren 3 ....CGI.... processen.
Dus, een reboot gedaan.
Nu Status ledje groen.
DSM via browser weer normaal.
Maar nu, heeft WinSCP dus z'n oude kuren weer terug:
[attachimg=1]
Dus, in Geavanceerd > SCP > Shell i.p.v. "sudo su -" weer "/bin/sh" teruggezet, inloggen, geen error, WinSCP komt weer binnen. :o
Maar ja, kan dus geen "sudo su -" doen dus, geen root rechten meer. :twisted:
Ik ga maar weer eens op zoek hoe DIT nu weer kan. :S
-
Haaaa, al gevonden.....
Ik had eerst admin in /etc/sudoers toegevoegd en later het admin account uitgezet nadat ik account Birdy met admin rechten had gemaakt.
Dus, nu admin gewijzigd Birdy in /etc/sudoers en nu werkt WinSCP weer met shell: "sudo su -" :lol:
Zal dus even m'n tut aan moeten passen. ;)
De rest van die vreemde dingen, zoals hierboven beschreven, kan ik niet verklaren, na reboot alles weer normaal.
@TonVH Je kunt weer bij mij testen hoor. ;)
-
Gaat pas morgenochtend lukken. Zit weer in de entertainment mode.
-
Alweer ? Je bent een veel gevraagd entertainer :lol:
Geef de NAS morgen rond 9:00 uur weer vrij ;)
-
hierzo stap voor stap:
zet telnet aan
type : o ip adres nas (vergeet de o niet)
login met admin en pasw van admin
type: sudo su -
geef weer het admin pasw
misschien nog een keer
nu ben je in de root@.......
type nu : synouser -setpw root (pasw admin)
enter en klaar
type : logout
ga nu naar winscp en alles werkt..
vergeet niet eerst shh service in te schakelen alsook telnet op uw nas..
nog meer gekke vragen ????
-
@ley
Zojuist getest op DSM 6.0-7321 Update 3, WinSCP werkt weer zoals ik gewend was. Bedankt voor de info.
Oplossing klinkt vrij logisch.. :-)
-
Waarom is dit draadje zo abrupt gestopt?
-
Omdat 6.0 geen beta meer is misschien?
-
Waarom is dit draadje zo abrupt gestopt?
Zou je dit soort posts niet ter moderatie willen aanbieden. Is nergens voor nodig.