Add post about chrooting sftp-user

.gitignore

@@ -1 +1 @@
-/puplic
+puplic/

content/posts/Reiferaumbau.md

@@ -0,0 +1,75 @@
+---
+title: "Umbau eines Erdkellers zu einem Käse-Reiferaum"
+date: 2024-05-08T20:00:00+02:00
+slug: 2024-05-08-reiferaumbau
+type: posts
+categories:
+  - blog
+  - Käse
+tags:
+  - Käse
+  - Reiferaum
+  - 
+---
+
+### Start einer verrückten Idee...
+
+Schon länger geistert da so die Idee von einem Reifraum in unserem alten Erdkeller durch meinen Kopf. Da nun auch das Hirngespinst mit dem Alpsommer wahr wird und ich bestimmt nicht ohne Käse zurück kommen werde brauche ich natürlich einen Lagerplatz.
+Also was liegt näher als mir doch mal den alten Erdkeller vorzunehmen?  
+  
+Eineinhalb Tage war ich mit Ausgrabungen beschäftigt. Alles musste durch diese zu kleine Türe per Kübel getragen werden...  
+  
+![Eingang in einen Gewölbekeller](/images/eingang_erdkeller.jpg)
+
+  
+Ich denke die ganze Erde die dort innen war wurde durch den Regen von der Oberseite durch das Gewölbe gespült. So wie es ausschaut wurde der Keller auch komplett ohne Mörtel gemauert. Schon ein Meisterwerk wie ich finde! Leider weiß ich nicht wie alt er ist, aber ich denke er hat schon einige Jahre. :o)  
+  
+Nun da der Boden bis auf den harten Grund abgetragen ist kann ich mir den Keller genauer anschauen und die weiteren Schritte planen.  
+  
+Dazu werde ich mal ein paar Anforderungen an einen Käsekeller aufstellen.  
+Die Käsereifung ist eine komplexe Sache und wie ich finde ziemlich interessant. Die Reifung besteht aus vielen biochemischen Umwandlungsprozessen. Bakterien, Hefen oder auch Schimmel bei z.B. Camembert sind für den Abbau von Eiweiß, Milchsäure und Fett zuständig. Dadurch bekommt der Käse erst seinen eigentlichen Geschmack.  
+Da es früher nur bedingt Möglichkeiten gab Reifekeller künstlich zu klimatisieren hatte jede Käserei auch automatisch ihre eigene Käsesorte. Je nach Temperatur und Luftfeuchte wurden andere Reifeprozesse begünstigt. Auch die "Flora" eines Kellers gibt dem Käse noch ein extra.  
+Egal ob der Käse bei 8°C oder auch bei 14°C reifen soll. Alle Käse mögen eine möglichst konstante Temperatur und Luftfeuchte.  
+Manche Käse wie z.B. der Emmentaler machen Anfangs eine Ausnahme. Diese werden erst für ca. 3-4 Wochen bei 25°C gelagert um die Lochbildung und das Fettausschwitzen zu fördern. Später kommen sie dann aber auch in ein kaltes Lager in dem sie für min. 4 Monate liegen dürfen.  
+Die Luftfeuchte ist ausschlaggebend wie der Käse gereift werden kann.  
+Bei geringer Luftfeuchte werden eher Käse mit Trockenrinden gemacht. Hohe Luftfeuchten sind hingegend optimal um den Käse z.B. rot zu schmieren.  
+Feuchte Keller sind aber vorzuziehen, da dadruch der Käse auch viel weniger Gewicht während der Reifung verliert. Eine relative Luftfeuchte von über 92% ist optimal um den Gewichtsverlust gering zu halten.  
+Was natürlich nicht heißt, dass Käse schlecht wird bei trockenen Umgebungen. Er wird durch den Gewichtsverlust aber immer etwas teurer in der Herstellung sein.  
+  
+Soweit zu den Klimabedingungen. Es kommen noch ein paar andere Punkte hinzu was die Reiferaumgestaltung nicht so einfach macht...  
+Käse weisen einen hohen Salzgehalt auf, je nach Käsesorte auch mal bis zu 3%. Dies spielt nicht nur geschmackstechnisch, sondern auch für die Konservierung eine große Rolle. Mit zu wenig Salz ist der Käse nur bedingt lagerfähig und weist meist mit zunehmenden Alter Reifefehler auf.  
+Zusätzlich hat der Käse einen pH-Wert von 5,0-5,4 bei der Einlagerung. Die Milchsäure gemischt mit dem Salz gibt eine ziemlich aggressive Mischung.  
+Dies belastet natürlich den Boden und auch die Wände.  
+Bei älterem Käse nimmt der Säuregehalt ab, dafür entsteht aber Ammoniak durch die Eiweißspaltung.  
+  
+Um es einfach zu machen wird in neuen Käsereien oftmals alles gekachelt, oder mit Glasfaserplatten verkleidet. Diese sind einfach zu reinigen und können durch ihre glatte Oberfläche auch nicht so leicht Bakterien und Schimmel beherbergen. Das Veterinäramt wird immer diese Art bevorzugen.
+Diese Reiferäume haben aber einen großen Nachteil: sie haben maximal einen kleinen Temperaturpuffer. Feuchtigkeit kann nur in den Reifebrettern und der Luft gepuffert werden. Dies bedingt immer eine künstliche Klimatisierung.  
+Räume mit Natursteinmauern oder auch Ziegelsteinen haben dieses Problem nicht. Offenporige Natursteine oder Ziegel können super Feuchtigkeit aufnehmen und diese auch wieder abgeben.  
+Zum Glück werden diese zur Käsereifung geduldet. Neubauten auf diese Weise brauchen immer eine gute Argumentation, aber für traditionelle Käseherstellung dürfen traditionelle Materialien benutzt werden (ja, auch Holz!). Gut, dass in Deutschland nicht festgelegt ist was denn traditioneller Käse ist! ;o)  
+  
+  
+Da ihr nun grob wisst um was es bei der Käsereifung geht mal zurück zu meinem Reiferaumprojekt.  
+Die Anforderungen was ein Veterinäramt stellen würde können mir natürlich erst mal egal sein. Der Käse ist nur für meine Familie und mich.  
+Wo ich aber besonders Wert drauf legen werde ist der Putz den ich in die Zwischenräume der Kuppel schmieren werde. Dieser sollte Feuchtigkeitsregulierend sein, also Feuchtigkeit aufnehmen und abgeben können. Was auch wichtig wäre ist, dass er möglichst ohne Chemie oder sonstigem Schrott auskommt.  
+Also falls ihr eine Idee habt, nur her damit! :o)  
+Ansonsten will mich die Dame beim Maurer an ihren Vertreter weiterleiten. Der soll sich das mal anschauen.  
+  
+Hier nochmal ein Bild von dem Gewölbe:  
+  
+![Das Gewölbe ist mit flachen Steinplatten gemauert. Zwischen den einzelnen Steinen gibt es teilweise große Zwischenräume](/images/decke_erdkeller.jpg)
+  
+Als Boden werde ich noch vorhandenes Pflaster benutzen. Betonpflaster ist als Boden nicht optimal, aber da alles vorhanden ist eine billige und einfache Lösung. Bei Bedarf ist ein Pflaster auch wieder ausgetauscht.  
+  
+Käse muss atmen, als muss auch von Zeit zu Zeit frische Luft in den Keller. Da ich mich kenne muss dies automatisch passieren. Sollte ich mal z.B. zwei Wochen nicht da sein, dann soll dort nix ersticken. Wenn der Käse ein gewisses Alter hat sind so lange Zeiten ohne Pflege und Wenden auch nicht mehr so problematisch. Es sollte nur ausreichend Sauerstoff vorhanden sein.  
+Hierfür werde ich zwei Abflussrohre legen. Eines direkt nach oben für die Abluft. Ein zweites wird für vier Meter bis zu unserer Hauswand überhalb des Kellers vergraben um die Zuluft schon etwas zu temperieren. Da ich bezweifle, dass der Luftaustausch von alleine passieren wird werde ich noch einen Lüfter in das Zuluftrohr bauen. Diesen kann ich dann zeitgesteuert hin und wieder mal laufen lassen.  
+  
+Nun gibt es nur noch zwei Probleme die zu lösen sind. Einmal brauche ich noch eine Türe und zweitens tropft der Keller wenn es regnet.  
+Als Türe werde ich mir eine dicke Holztüre zimmern.  
+Die Sache mit der Tropfsteinhöle hoffe ich, dass die Teichfolie die ich heute gekauft habe beheben kann. Diese will ich oberhalb auslegen, mit Erde aufschütten und wieder bepflanzen. So wird das überschüssige Wasser auf die Seite abgeleitet und sickert nicht durch den Keller.  
+Es ist also noch viel zu machen!  
+  
+  
+In dem Sinne: stay tuned! :o)  
+  
+![Erdkeller. Links steht ein gelber Eimer. Rechts steht eine Lampe die in Richtung der Türe in der Mitte leuchtet.](/images/erdkeller_innen.jpg)
+

content/posts/chroot_sftp_mit_openssh.md

@@ -0,0 +1,84 @@
+---
+title: "Chroot_sftp_mit_openssh"
+date: 2024-05-28T14:30:00+02:00
+slug: 2024-05-28-chroot_sftp_mit_openssh
+type: posts
+categories:
+  - Linux
+tags:
+  - openssh
+  - sftp
+  -
+---
+
+### Einsperren von sftp usern in ein chroot
+
+Ich bin nicht immer so konsequent aufzuschreiben was ich so auf meinem Server mache. Bei Neuinstallationen oder ähnlichem muss ich dann manche Sachen immer wieder nachschlagen...
+
+Da [Schenklkopfer](https://chaos.social/@schenklklopfer) [hier](https://chaos.social/@schenklklopfer/112514806811978790) im Fediverse nach einer Lösung gesucht hat ssh user in ein chroot zu sperren hab ich gedacht ich schreib da mal meine Vorgehensweise nieder.
+
+Als erstes erstellen wir ein Verzeichnis für die sftp-user
+```
+mkdir -p /home/shared
+# für jeden user wiederholen
+mkdir -p /home/shared/sftpuser/files
+```
+Für die sftp-user erstellen wir nun eine eigene Gruppe die später in der *sshd_config* abgefragt wird.
+Da der neue user nur für sftp benutzt werden soll deaktivieren wir auch gleich den Login.
+```
+addgroup sftp
+adduser --ingroup sftp --shell /sbin/nologin --home /home/shared/sftpuser/files sftpuser
+```
+Als nächstes erstellen wir ein *authorized_keys* file um ein passwortloses anmelden zu erlauben.
+Dieses könnt ihr dann mit eurem puplic-key befüllen.
+```
+mkdir -p /home/shared/sftpuser/files/.ssh
+touch /home/shared/sftpuser/files/.ssh/authorized_keys
+```
+Nun ist es ganz wichtig die richtigen Rechte für die Verzeichnisse zu vergeben. Ansonsten wird es nicht funkionieren.
+```
+chmod -R 755 /home/shared/sftpuser
+chown -R root:sftp /home/shared/sftpuser
+chown -R sftpuser:sftp /home/shared/sftpuser/files
+```
+Sollte es nicht erwünscht sein, dass die authorized_keys vom user selbst bearbeitet werden dürfen, dann können hier noch die Rechte angepasst werden
+```
+chmod 644 /home/shared/sftpuser/files/.ssh/authorized_keys
+chown root /home/shared/sftpuser/files/.ssh/authorized_keys
+```
+Nachdem jetzt alles vorbereitet ist müssen wir */etc/ssh/sshd_config* noch anpassen.
+Dazu ändern wir das Subsystem (wenn es nicht schon so ist) auf *internal-sftp*.
+```
+# override default of no subsystems
+Subsystem       sftp    internal-sftp
+```
+Am Ende fügen wir eine Abfrage nach der Gruppe hinzu und schicken alle user die in der gruppe *sftp* sind ins chroot-Verzeichnis.
+```
+Match Group sftp
+       ChrootDirectory /home/shared/%u
+       ForceCommand internal-sftp
+       PermitTunnel no
+       AllowAgentForwarding no
+       AllowTcpForwarding no
+       X11Forwarding no
+```
+Es kann auch ein extra Port angegeben werden. Dies finde ich vor allem sehr interessant, wenn der share z.B. im Heimnetzwerk läuft und ins Internet freigegeben werden soll aber kein sshlogin möglich sein muss. So kann der extra Port am Router freigegeben werden und der normale Port wird nicht weitergeleitet.
+Dazu muss ganz oben in der *sshd_config* noch ein zweiter Port hinzugefügt werden.
+```
+Port 22
+Port 2222
+```
+Dieser kann nun unten zusätzlich abgefragt werden.
+```
+Match LocalPort 2222 Group sftp
+       ChrootDirectory /home/shared/%u
+       ForceCommand internal-sftp
+       PermitTunnel no
+       AllowAgentForwarding no
+       AllowTcpForwarding no
+       X11Forwarding no
+```
+Jetzt muss der sshd server einmal neugestartet werden damit die Änderungen übernommen werden.
+Falls ihr euch nicht per keyfile einloggen könnt, dann sollten die Verzeichnisberechtigungen nochmal kontrolliert werden.
+
+Viel Spaß damit!