SWAT per SSL #

SWAT ist das Konfigurations-Tool eines SambaServer. Leider ist die Authentifizierung von SWAT so grauenhaft, wie seine Oberfläche angenehm ist. :-( Man muss sich als root authentifizieren, um Einstellungen vornehmen zu können, dabei werden die Authentifizierungs-Informationen per basic-Authentifizierung des Webservers im Klartext übers Netz übertragen. Wenn irgendjemand gerade auf dem Netz snifft, hat man damit das root-Passwort des Webservers verraten. :-(

Schöner wäre es, wenn SWAT z.B. SSL unterstützen würde. Tut es zwar nicht, aber es gibt mit stunnel (http://www.stunnel.org) einen Wrapper, der das möglich macht. Einen Link zu dieser Methode gibt es auch auf der SWAT-Homepage, aber die dort vorgestellte Methode funktionierte so nicht. (Vielleicht liegt das daran, dass es aktuell stunnel 4.x gibt, Debian aber noch 3.x enthält?!?)

Installation unter Debian #

Installation des Debian-Paketes stunnel (und natürlich auch swat).

Als erstes muss ein Server-Zertifikat angelegt werden. Dies macht man nach den Anweisungen in /etc/share/doc/stunnel/README.Debian. Dort ist es kurz und knapp erklärt. Kurz gesagt macht man folgendes:

  cd /etc/ssl/certs
  openssl req -new -x509 -nodes -days 365 -out stunnel.pem -keyout stunnel.pem
  chmod 600 stunnel.pem
  dd if=/dev/urandom of=/tmp/temp_file count=2
  openssl dhparam -rand /tmp/temp_file 512 >> stunnel.pem
  ln -sf stunnel.pem `openssl x509 -noout -hash < stunnel.pem`.0
  rm /tmp/temp_file

Die Zertifikatsdatei kann man auch swat.pem nennen.

Dann kommt das, was ich erst mühsam herausfinden wollte. Man geht in die Datei /etc/inetd.conf, kommentiert die swat-Zeile aus (ist sie nach der nackten Installation von SWAT bereits) und trägt folgendes dafür ein:

  swat   stream   tcp   nowait   root   /usr/sbin/stunnel -N swat -p /etc/ssl/certs/stunnel.pem -l /usr/sbin/swat -- swat

Und los mit dem Browser #

Dann als Adresse im Browser https://fileserver.name.domain:901 eingeben und fertig (man achte auf "https")! Es empfielt sich übrigens scheinbar, als Namen des Zertifikatsinhabers den Domainnamen des Servers anzugeben. Mein Mozilla meckert sonst immer, das die Namen nicht übereinstimmen und verlangt eine Bestätigung.

Was gibts sonst noch? #

Stunnel ist ein ziemlich geniales Tool. Wer also mehr will/braucht, kann sich dort ruhig mal einlesen. So führt meine Lösung z.B. dazu, dass man SWAT vom Server selber aus nicht mehr starten kann, weil ich da keinen Browser mit SSL-Unterstützung habe. (Haha!) Da kann man entweder zwei Zeilen in die inetd.conf schreiben oder stunnel kann auch eine Art redirect auf einen anderen Port machen. Wie dem auch sei: Für die meisten Fälle dürfte obiges Setup gut sein. -- ThomasBayen