Ограничение пользователей SFTP (на основе OpenSSH) только настраиваемым портом

Я понимаю, что в Интернете было множество других потоков, разрешающих OpenSSH SFTP-соединения на настраиваемом порту. Я их ударил, не всех, но много. И не смог заставить его работать в моем конкретном случае :)

Вот с чем я боролся:

• CentOS Linux, выпуск 7.6.1810 (Core), на AWS
• OpenSSH_7.4p1, OpenSSL 1.0.2k-fips 26 января 2017 г.
• Требования:
  • Только 1 sshd экземпляр разрешен
  • Порт 22: SSH
  • Порт 2222: SFTP
  • Пользователи Chrooted SFTP

• На вершине /etc/ssh/sshd_config У меня есть:

  Port 22
  Port 2222
  

• SFTP-сервер настроен с использованием johanmeiringроль Ansible ansible-sftp

  • Затем я изменил /etc/ssh/sshd_config изменить это Match строка из:

    Match Group sftpusers
    

    кому:

    Match Group sftpusers LocalPort 2222
    

    в надежде, что пользователи группы sftpusers воля * только * иметь возможность SFTP-подключения через порт 2222

  • Это больше /etc/ssh/sshd_config что я считаю актуальным:

    Port 22
    Port 2222
    ...
    Subsystem sftp internal-sftp -f AUTH -l VERBOSE
    ...
    Match Group sftpusers LocalPort 2222
        ChrootDirectory %h
        AllowTCPForwarding no
        X11Forwarding no
        ForceCommand internal-sftp
        PasswordAuthentication no
    

На самом деле произошло то, что пользователи SFTP смогли подключиться через оба порта 22 и 2222. Что еще хуже, при подключении через порт 22 пользователи SFTP вообще не имеют chrooot (они могут cd свободно). Всего этого не ожидается.

Как мне достичь chrooted пользователей SFTP, ограниченных портом 2222, на основе OpenSSH, позволяя SSH функционировать нормально?

Спасибо.