concernant l’accès par internet, il n’y a pas de conflit à redouter entre dropbear et openssh par défaut. Si on installe dropbear alors qu’openssh est déjà présent, dropbear se paramètre automatiquement de manière à ne pas tourner comme service, mais uniquement à s’installer dans l’initramfs. Il semble donc tout à fait envisageable de le confirgurer sur le même port ou un port différent de openssh.
Par défaut d’ailleurs, il tourne bien sur le port 22 (comme openssh).

Tutoriel appliqué avec succès pour une ip fixe et avec une paire de clé ssh créées pour l’occasion.
pour ma part, je ne comprend pas comment le trick d’utiliser la clé privée dropbear pourrait marcher.

Alors l’histoire de la clé privée de dropbear fonctionne, j’ai essayé sans autre clé autorisée, juste pour être sur. Mais sinon en condition normale j’ai pas eu ce problème qui empêcherait la connexion avec une clé extérieure. J’ai laissé la référence au cas où, ça pourrait toujours servir… ?

Pour le reste (IP statique et port openssh) je finirais de tester ce soir ou dans les prochains jours pour confirmer dans le tuto qu’on peut sans problème avoir openssh et dropbear sur le même port non standard.

Sinon est-ce qu’il y aurait une raison de sécurité pour arrêter quand même dropbear une fois le système lancé?

tu ne peux pas avoir les deux en écoute sur le même port en même temps. L’installation par défaut avec debian n’active pas dropbear si openssh-server est présent.

ah ok… bon en tout cas tout ça marche très bien pour moi aussi à distance avec dropbear sur le port 22 et openssh sur un autre port :)

Tu augmentes la surface d’attaque sur ton serveur en laissant 2 logiciels différents pour le même usage.

oui c’est ce qui me dérange.
Mais le défaut de ma config c’est surtout que j’ai deux ports différents ouverts sur ma passerelle pour le NAT: le 22 pour dropbear et un autre pour openssh, ce qui est un peu stupide…

Après j’avais l’impression que dropbear n’est plus vraiment accessible au lancement du système car je ne le vois ni avec ‘netstat -tpl’ ni avec ‘nmap localhost’. et en plus j’ai l’option NO_START=1 dans le fichier de config de dropbear (/etc/default/dropbear), ce qui empêche de le relancer. Mais bon par contre quand je fais ‘sudo service dropbear stop’ le message est “Stopping Dropbear SSH server: dropbear.” donc il est quand même toujours là derrière.

Mon dilemme c’est que je n’arrive pas à encore à me résoudre à abandonner openssh pour ne garder que dropbear. Je ne connais pas assez bien le sujet, mais la version dropbear de debian wheezy est un peu ancienne packages.debian.org/search?keywords=dro... par rapport à l’actuelle matt.ucc.asn.au/dropbear/dropbear.html
(Qu’est-ce que vous en pensez?)

Alors ma question est: si je configure dropbear sur le même port non standard que openssh et que je met un script pour arrêter dropbear dans le runlevel 2 ou 3 avant le démarrage d’openssh, est-ce que c’est une connerie? comme ça j’ai vraiment qu’un seul service qui tourne à la fois et je peux fermer le port 22 sur la passerelle…

Je le ferais plutôt autrement =)
ce n’est pas parce que tu lance un script et qu’il te répond qu’il stoppe un process que c’est bien le cas.
Je viens de regarder de mon côté. htop ou ps aux montrent bien l’existence de sshd et l’absence de dropbear. Pour autant, sudo /etc/init.d/dropbear stop m’affiche bien stopper dropbear ? deux fois de suite même !?!
Donc à ta place, je ferais plutôt confiance à netstat et nmap.
T’as pas besoin d’en faire plus, dropbear ne doit pas tourner sur ta machine.

…j’avais oublié de mettre à jour cette fiche.
Alors petit bug: en essayant de changer le port de Dropbear dans son fichier de config, et après avoir bien mis à jour l’initramfs, je me suis rendu compte que les changements n’étaient pas pris en compte. C’est toujours le port 22 sur lequel dropbear écoute.

Au final j’ai vu que j’étais pas le seul à avoir ce problème, et j’ai utilisé la méthode conseillée dans les commentaires ici: bugs.launchpad.net/ubuntu/+source/dropb...

A savoir modifier le fichier /usr/share/initramfs-tools/scripts/init-premount/dropbear en ajoutant “-p numéro du port voulu” (sans oublier de mettre à jour l’initram avec update-initramfs -u )

J’ai aussi appliqué ça avant comme conseillé(je ne connaissais pas l’usage de dpkg-divert, ça m’a permis de me dcumenter un peu):

dpkg-divert —rename —divert /usr/share/initramfs-tools/dropbear.original /usr/share/initramfs-tools/scripts/init-premount/dropbear
ainsi que:
cp /usr/share/initramfs-tools/dropbear.original /usr/share/initramfs-tools/scripts/init-premount/dropbear

Et maintenant ça marche, j’ai un serveur dropbear sur un port autre que 22, et qui est le même que le numéro de port utilisé ensuite par open-ssh, comme ça j’ouvre qu’un port sur ma passerelle.
Et tout se passe bien ;)

Je viens de mettre en place LUKS over Dropbear sur un debian Jessie. Je me suis plus servi du tuto : projectgus.com/2013/05/encrypted-rootfs...

Son unlock script marche à merveille !

j’ai décidé d’avoir les mêmes figerpring RSA pour dropbear et openSSH en utilisant la méthode ici :
projectgus.com/2013/05/encrypted-rootfs...

j’ai utilisé la méthode que tu décris ci-dessus pour changer le port de dropbear en initramfs (j’avais le même problème que toi, ca n’est à priori pas corrigé dans debian Jessie)

Ca fonctionne comme un charme avec ma clé ssh, pas besoin d’utiliser la clé privée de dropbear.

Si tu m’y autorise, je me propose d’éditer ton tuto pour y ajouter mon expérience.

salut bkpk
merci pour ta contribution, n’hésite pas à ajouter ce qui manque pour jessie dans le tuto.

Pour l’"anecdote", après une migration debian wheezy vers jessie, le réseau ne fonctionnait plus pour une machine avec dropbear et xen, alors que ça marchait bien sous wheezy. l’ajout de l’option “pre-up ip addr flush dev eth0” dans /etc/network/interfaces a tout rétabli. On me signale la même mésaventure avec libvirtd.

Ça vous va si je rend public la page ?

(avec du retard) ok pour rendre publique

Salut,

je tombe par hasard sur cette page.
Je viens d’installer dropbear sur un serveur sous buster, et j’ai fait comme ça (ne marche que à partir de debian 10):

apt install dropbear-initramfs

# en vrai moi j'ai pas mis le -R parce que ça me disait rien, mais sinon:
# R: generate host keys automatically
# F: don't fork to background
# E: error to standard error log, not syslog
# s: no password auth
# j: disable local port forwarding
# k: disable remote port forwarding
echo 'DROPBEAR_OPTIONS="-RFEsjk"' > /etc/dropbear-initramfs/config

# avec ça tu ssh et tu as direct le prompt, et quand tu valides, si ça marche tu es déco direct
# on peut copier coller la clef direct ici (en incluant 'ssh-rsa' ou autre)
echo 'no-port-forwarding,no-agent-forwarding,no-x11-forwarding,command="/bin/cryptroot-unlock" <YOUR_PUBLIC_KEY>' >> /etc/dropbear-initramfs/authorized_keys

# Ajouter "initramfs" dans /etc/crypttab pour les volumes non root device de grub
sda2_crypt /dev/sda2 none luks,initramfs

# Add network support to the initramfs; replace variables with your server's network configuration
echo 'IP="${ip_address}::${gateway_ip}:${netmask}:${optional_fqdn}:${interface_name}:none"' > /etc/initramfs-tools/conf.d/ip

update-initramfs -k all -u

Un poil plus simple :)
bises