[TUTO] Accès SSH et ROOT via DSM 6 et 7

[unPixel]

Mise à jour du tuto pour DSM 7 faite par Mic13710 le 18/02/2023

Bonjour,

Nous allons voir ensemble aujourd'hui comment se connecter en SSH et ROOT avec DSM6 et 7.
Ensuite, vous n'aurez plus besoin de login et mot de passe sur PuTTY et WinSCP.

Idée du tutoriel : je cherchais moi même à me connecter en SSH et ROOT pour suivre un tuto mais la méthode avait changée à partir de DSM6. En faisant des recherches sur la toile, je suis tombé sur toutes sortes de tutos donc la plupart étaient mal traduit, mal écrit, plus à jour, pas assez précis pour un novice (noob) comme moi etc... Et puis en poussant mes recherches un peu plus loin, je suis tombé sur une réponse de Fenrir à un membre du forum qui répondait en très grande partie à mes questions. J'ai donc décidé de me baser sur son savoir afin de créer ce tutoriel et que ça puisse aider les plus démunis sans passer trois heures sur internet pour trouver la bonne solution. Il est vrai que lorsqu'on ne manipule pas SSH tous les jours (je suis pas admin réseau moi lol), il est compliqué de s'y retrouver et encore plus de connaitre et mémoriser toutes ces informations. Surtout les commandes à taper...

Pour suivre ce tutoriel, nous aurons besoin du programme PuTTY (sous Windows) et éventuellement le second programme qu'est WinSCP si vous souhaitez aussi avoir accès à votre NAS via un explorateur de fichier (plus précisément un client SFTP graphique).

- Téléchargement de PuTTY : https://www.chiark.greenend.org.uk/~sgtatham/putty/latest.html

- Téléchargement de WinSCP (facultatif) : https://winscp.net/eng/download.php

Pour la création des clés sous MAC et Linux, se reporter directement à la partie du tuto ci-dessous et sauter les étapes concernant PuTTY sous Windows.

On va aussi partir du principe que vous avez déjà activé SSH et personnalisé votre port dans DSM. Si ce n'est pas le cas, rendez-vous dans "Panneau de configuration" et "Terminal & SNMP".

Facilité du tutoriel : FACILE

Durée : 10 minutes maximum.

Message de Fenrir :

À toutes fins utiles, une clef SSH c'est comme un très gros mot de passe, si elle est compromise, tous les endroits où elle est installées le sont potentiellement, c'est pour ça qu'on recommande :

• de protéger la clef avec un super mot de passe (pageant permet d'éviter de le retaper 15 fois par jours)
• de renouveler la clef de temps en temps (1 fois par an c'est largement suffisant) en pensant bien à supprimer la clef publique de l'ancienne
• et de la conserver à l'abri (la clef publique vous pouvez la coller sur google, mais la clef privée c'est comme votre carte bancaire)

***********************************************

- Création de la clé privée et la clé publique :

1. Une fois PuTTY installé, rendez-vous dans "tous les programmes" sous Windows et "PuTTY (64-bit)" puis lancez PuTTYgen qui est un générateur de clé.

2. Une fois lancé, vérifiez bien que le protocole de chiffrage RSA (ou ED25519) en bas à gauche soit coché et indiquez 4096 au lieu de 2048.

3. Cliquez simplement sur le bouton "Generate" pour générer les clés. Une fois cliqué, vous aurez un message vous demandant de balader votre souris sur la fenêtre afin de faciliter le hasard du chiffrage.

4. Une fois les clés générées, vous verrez en clair la clé publique affichée comme ci-dessous (copier la). Cliquez sur "Save private key". Enregistrez ou bon vous semble la clé privée sur votre ordinateur.

5. Vous aurez donc ce fichier sur votre ordinateur à l'endroit que vous aurez choisi :

6. La clé privée servira pour Pageant qui est l'agent d'authentification de PuTTY.

A noter que si pour une raison ou pour une autre, vous devez retrouver la clé publique, il vous suffit de réouvrir PuTTYgen et de cliquer sur "Load" puis d'indiquer le chemin de votre clé privée pour la voir de nouveau s'afficher dans la fenêtre.

 

***********************************************

- Création des clés sur un PC Linux ou Mac (de Fenrir) :

ssh-keygen -t ed25519 -C commentaire

ou

ssh-keygen -t rsa -b 4096 -C commentaire

Exemple sur un poste Linux :

fenrir@machine:~# ssh-keygen -t ed25519 -C "Clef ssh pour le tuto"
Generating public/private ed25519 key pair.
Enter file in which to save the key (/home/fenrir/.ssh/id_ed25519):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/fenrir/.ssh/id_ed25519.
Your public key has been saved in /home/fenrir/.ssh/id_ed25519.pub.
The key fingerprint is:
db:b5:12:69:c0:39:35:78:02:29:8c:32:3e:f0:6b:24 Clef ssh pour le tuto
The key's randomart image is:
+--[ED25519 256]--+
|   o  .o .o      |
|+ . o ..oo..     |
|o+   .  =o       |
|Eoo      o .     |
| o..    S + .    |
|  o      + o .   |
| .      . o .    |
|           .     |
|                 |
+-----------------+

Vous retrouverez donc vos clés dans le dossier .ssh de votre "home" (~/.ssh).

L'équivalent de pageant se nomme ssh-agent (il faut le lancer). Pour lui ajouter une clé :

ssh-add ~/.ssh/id_ed25519

nb : si la clé privée est accessible par d'autres personnes, ssh refusera normalement de l'utiliser, par défaut les droits sont bons, sinon :

chmod 600 ~/.ssh/id_ed25519

 

***********************************************

- Enregistrement de la clé publique dans le NAS :

1. Ouvrez le logiciel PuTTY (64-bit) sur votre ordinateur puis entrez les informations demandées à savoir l'IP locale du NAS et son port que vous aurez personnalisé puis cliquez sur "Open"  :

2. Vous avez une nouvelle fenêtre qui s'est ouverte.

A partir de là, les étapes sont simples.

Entrez votre login (admin) et appuyez sur "entré".

Entrez votre mot de passe et appuyez sur "entré".

Copiez et collez la commande "sudo su -" puis appuyez sur "entré".

sudo su -

ATTENTION : à partir de maintenant, vous êtes connecté en ROOT ; une mauvaise manipulation et ça pourrait être dramatique pour votre nas et entrainer par exemple, une perte des données ou une inaccessibilité totale de votre nas.

Copiez et collez la commande "mkdir /root/.ssh" puis validez en appuyant sur "entrée".

mkdir /root/.ssh

Copiez et collez la commande "vi /root/.ssh/authorized_keys" puis validez en appuyant sur "entrée".

vi /root/.ssh/authorized_keys

Arrivé ici, appuyez sur la touche i pour entrer en mode édition puis collez ici la clé publique que vous avez obtenue. Une fois la clé collée, appuyez sur "echap" et taper ":wq" puis faite "entré".

:wq

Tapez exit puis "entrée" deux fois afin de quitter PuTTY.

Voilà, vous avez collé votre clé publique dans votre NAS. On peut donc en principe se connecter en tant que ROOT et SSH via PuTTY. Mais avant ça, il faut configurer PuTTY.

***********************************************

- Configuration de PuTTY pour obtenir une connexion ROOT et SSH :

Ouvrez PuTTY (64-bit) à nouveau puis suivez la procédure en image détaillées :

Ça vous demande votre mot de passe pour la clé privée.

Entrez le et voyez le résultat 😉

Vous êtes maintenant connecté en ROOT et SSH !

***********************************************

- Connexion rapide à votre NAS avec Pageant :

Pageant est un utilitaire fourni avec PuTTY et qui va vous permettre d'accéder rapidement à votre NAS. En double cliquant sur votre clé privée stockée sur votre PC, une icône avec un petit ordinateur va apparaitre  dans votre barre des tâches à droite.

Si vous double cliquez sur cette icône, ça vous ouvre une fenêtre qui récapitule les clés enregistrées.

Si vous faites un clic droit  sur l'icône, vous verrez un menu s'afficher.

Vous pouvez maintenant cliquer directement sur votre NAS répertorié et y accéder en ROOT et SSH via la fenêtre de PuTTY qui s'ouvre.

Astuce : on va faire en sorte que Pageant prenne en compte votre clé privée au démarrage sinon il faudra l'importer manuellement à chaque démarrage de ce dernier. On va faire un clic droit sur Pageant puis "Propriétés" puis on va ajouter dans le raccourci de lancement un espace puis l'adresse exacte ou se trouve la clé privée.

Ex : C:\PuTTY\pageant.exe D:\cléprivée.ppk

 

***********************************************

- Autoriser l'accès SSH uniquement avec un clé :

Pour renforcer un peu plus la sécurité, nous pouvons désactiver l'authentification par mot de passe comme on s'est connecté au début du tutoriel. Ceci va avoir pour conséquence d'autoriser uniquement les connexions SSH avec une clé et la passphrase associée.

On édite le fichier "sshd_config" pour lui indiquer que l'on n'accepte pas l'authentification par mot de passe.

vi /etc/ssh/sshd_config

On modifie (touche i pour "insert") la ligne "PasswordAuthentification yes" en "PasswordAuthentification no" et pour enregistrer la modification, on appuie sur la touche ECHAP (ESC) et on tape la combinaison ":wq!" (sans les guillemets).

On redémarre le service SSH pour que le changement soit prit en charge.

DSM6 :

synoservicectl --reload sshd

DSM7 :

systemctl restart sshd

A partir de maintenant, il faudra obligatoirement avoir sa clé enregistrée dans le serveur mais aussi sa clé privée et la passphrase pour se connecter en SSH. Si on veut ajouter un utilisateur, il faudra revenir dans ce fichier afin d'autoriser temporairement l'authentification par mot de passe le temps que l'utilisateur créer sa connexion par une clé.

***********************************************

- Supprimer vos clés sur votre NAS :

Pour supprimer votre clé enregistrée sur votre NAS, tapez cette commande : "rm /root/.ssh/authorized_keys"

rm /root/.ssh/authorized_keys

ATTENTION : cette commande supprimera toutes vos clés !

***********************************************

- Configuration de WinSCP (client SFTP graphique) pour une connexion en ROOT et SSH :

1. Ouvrez WinSCP et suivez les images ci-dessous.

Et voilà, vous pouvez maintenant vous connecter via ROOT et SSH avec WinSCP.

 

Soyez prudent !

Merci à Mic13710 et Fenrir pour leurs contributions.

Si vous constatez des erreurs dans ce tutoriel, merci de me le faire  savoir pour que je corrige rapidement afin de ne pas induire en erreur les membres du forum n'y connaissant pas grand chose.

[E-Raw]

Bonjour,

J'ai l'impression que cela ne fonctionne plus depuis mise à jour de mon NAS en DSM 6.1.4-15217 U2.

Même la commande synouser -–setpw root qui permettait d'ajouter un password au compte root pour l'accès SSH ne fonctionne plus.

Pourriez-vous me dire si quelqu'un d'autre rencontre le même problème?

Merci!

 

[k750]

Bonjour

Sur mon 713+ j'ai la 6.1.4-15217 Update 2

As-tu activer le SSH sur le port 22 ?

As-tu activer le compte administrateur ?

 

[Wells83]

Bonjour, moi j'ai un soucis beaucoup plus chian, quand je me connecte en admin sur putty, le mot de passe est accepté et la fenêtre de putty se ferme.

Voila, donc impossible de faire sudo ou autre.

Qq'un a déjà eu ce soucis ?

[unPixel]

Bonjour,

Il serait peut-être bon de passer par la case présentation ;)

[Wells83]

VOila qui est fait ;)

 

Pour ajouter un peu d'eau a mon moulin, je me connecte sous putty en admin :

=~=~=~=~=~=~=~=~=~=~=~= PuTTY log 2018.01.09 23:37:23 =~=~=~=~=~=~=~=~=~=~=~=
login as: admin
admin@192.168.2.2's password:
Permission denied, please try again.

Putty se ferme immédiatement. Je suis sur à 200% du mot de passe. J'ai fait le test dans un VM, et cette méthode marche normalement, j'ai donc qq chose qq part qui lui pose soucis. Le problème c'est que du coup je ne peut rien faire en root et je suis complétement coincé :(

 

[pluton212+]

Salut,

as tu créé un compte admin différent de celui par défaut ?
Si c'est le cas tu dois utiliser ce dernier.

(sur les dernières versions de dsm le compte admin est désactivé après l'installation)

[Wells83]

heu a priori non :

https://img15.hostingpics.net/pics/451707dsm.png

Normalement c'est le compte admin de base (j’ai fait un hard reset récemment)

[pluton212+]

En situation "normale" le compte admin est désactivé après l'installation de dsm.

Modifié le 13 janvier 2018 par pluton212+

[Wells83]

A priori c'est le bon. Après est ce que ça pourrais pas être une question de répertoire par défaut que j'ai modifié ou autre et ou j'ai pas les droits d'aller ?

[Kildon]

Bonjour à tous,

Tout d'abord merci beaucoup pour ce tuto, ça m'a permis de retrouver mon accès SSH sous Putty.

Cependant, j'ai un souci avec WinSCP, qui me dit : "Impossible d'initialiser le protocole SFTP. SFTP fonctionne-t-il sur le serveur ?"

Ayant trop peu de connaissances pour me passer de l'interface graphique, j'ai du mettre le protocole SCP au lieu de SFTP pour que ça finisse par fonctionner (astuce trouvée sur le net).

Du coup ça apporte quelques questions :

Est-ce que quelqu'un a une explication à ce phénomène ? Et surtout est-ce un problème de passer par ce protocole ?

Merci à tous, bonne journée !

[Thierry94]

Bonjour,

Merci InfoYAnn pour ce tuto que j'ai appliqué à la lettre et enfin je retrouve ma connexion Winscp ;-).

Malheureusement je rencontre un petit problème de saisie passphrase. Lorsque j'accède via Winscp que j'ai configuré comme indiqué je tape la passphrase et tout va bien je suis connecté.
Par contre lorsque je passe par Putty et que je tape la passphrase (la même que précédemment) j'ai systématiquement le message "wrong passhrase" et la connexion est refusée.

Ma passphrase contient majuscules, des minuscules et des caractères spéciaux ... y a t-il des restrictions sur les caractères utilisables pour putty ?

Merci d'avance pour votre éclairage sur ce problème  

Modifié le 21 avril 2018 par Thierry94

[unPixel]

Bonjour,

Pas à ma connaissance. Ma passphrase est composé d'environ 40 caractères différents dont des caractères spéciaux, majuscules, minuscules et chiffres et je n'ai pas ce soucis.

N'as-tu pas déplacé ta clé privée ? Si tel est le cas, va dans Putty et redéfini le chemin exact de ta clé.

Modifié le 21 avril 2018 par InfoYANN

[Thierry94]

Non pas de déplacement de la clé privée ...

[unPixel]

Au pire, refais la manip qui ne prend que quelques minutes en supprimant avant la clé en place. La commande est aussi dans le tuto.

 

Avant, tu as vérifier aussi que dans Pageant, tu avais la clé d'intégrée ?

Modifié le 21 avril 2018 par InfoYANN

[Thierry94]

J'ai tout annulé et recommencé depuis le début en changeant de passphrase et c'est la même chose ... passphrase non reconnue par Putty mais acceptée par Winscp 

[unPixel]

Là comme ça, je ne vois pas ce qui pourrait clocher. Peut-être qu'un autre membre plus connaisseur en SSH saura.

[cyberbob69]

Merci infoYANN pour ton tuto. Fonctionne a merveille sur un syno en version DSM 6.1.6-15266 Update 1

connexion en root sur winSCP et putty.

De plus avec les clés publique/privée générée il n'y a aucun risque pour la sécurité, contrairement au autres méthode que j'ai pu lire qui me paraissait douteuse.

 

[unPixel]

De rien ;)

[Jojo (BE)]

@InfoYANN, je n'ai pas tout lu (c'est trop long pour mon petit cerveau).
Mais moi j'ai fait beaucoup plus simple depuis mon MAC :

ssh <AdminUser>@<IPNas>
rentrer le mot de passe

sudo -i
rentrer le mot de passe

et ça y est😅

[unPixel]

En effet, ça fonctionne comme ça sur MAC sauf qu'à chaque fois, tu dois taper ces deux commandes et entrer ton mot de passe au moins deux fois.

Sur Windows et avec Putty (ou WinSCP), on fait en sorte tout en restant sécurisé de ne pas avoir à entrer à chaque connexion le mot de passe qui est géré via des clés.

Mais moi même sur mon MAC, je fonctionne comme toi 😉

[unPixel]

Bonjour,

Petite question aux pros du SSH svp.

J'ai créé un utilisateur sur DSM pour mes sauvegardes locales via Syncback avec uniquement des droits de lecture sur tous les dossiers partagés. Donc en gros, le logiciel Syncback va chercher les données dans les dossiers partagés et les sauvegardes sur un disque dur sur un pc.

J'ai mit en place ceci en SFTP et j'aimerai y appliquer une clé privée.

Est-ce qu'en suivant mon tuto, la clé privée sera fonctionnelle et surtout reconnue pour la fonction SFTP et si oui, est-ce que ça n'ajoutera pas des droits à Syncback au niveau SSH qui n'a pas de droits d'administrateur sur DSM à la base ? Je ne de cet utilisateur que faire du transfert SFTP dans un seul sens puisqu'il a que des droits de lecture.

Merci par avance.

 

@Fenrir, hello Fenrir, je me permet de te quoter car je sais que tu es calé sur le sujet 😉

 

[Fenrir]

Si la clef est correctement déclarée tu ne devrais pas avoir de soucis de connexion, pour les droits c'est un autre sujet, Synology applique des ACL en plus des droits POSIX, donc sur certains dossiers le comportement est plus complexe qu'un simple RWX.

[unPixel]

Merci pour ta réponse. J'ai fait plusieurs tests mais il y a pas mal de soucis entre SFTP Synology et Syncback. Une fois il reconnait le serveur mais pas la clé, après il reconnait tout puis d'un coup il reconnait plus à nouveau autre chose...

Bref, comme c'est pour du local, je vais passer par du FTPS.

[inz]

Bonsoir Yann, je viens de terminer (avec succès 😂) sur mon NAS DS115J. J'y ai maintenant accès grâce à Putty et WinSCP avec un seul mdp. Cependant, j'essaie de reproduire sur un DS218+ nouvellement acquis, et là, problème dans la fenêtre "Terminal"(, qu'ai bien pu oublier de configurer?) :

Citation

mon_login:~$ sudo su -
Password:
sudo: su: command not found

 

Pour les novices dans mon cas (y en a_t'il encore?) je précise que pour avoir accès au terminal avec PuTTy) j'ai dû configuré mon NAS ainsi :

• Installation de
  • webDav server
  • webStation
  • apache http Server 2.4
• Et dans Panneau de configuration
  • "Terminal et SNMP" : Activation du service SSH et choix d'un N° de port

Je précise que l'installation de PuTTy fait partie de mon projet d'avoir un DNS en suivant le tuto de Fenrir (

)

Cordialement

P.