Простой пошаговый способ создания «заточенных» учетных записей только для SFTP.

Мне кажется, что я просмотрел все руководства по SFTP / Chroot в Интернете и не нашел того, что ищу (или, по крайней мере, ни один из них не дал правильных результатов). Вот моя специфика:

• Я буду создавать множество индивидуальных учетных записей пользователей с помощью скрипта. Поэтому любое решение, требующее от меня очень деликатного редактирования файлов вручную, не является хорошим решением.
• Каждому из этих пользователей будет предоставлен каталог в папке / var / www / html / USER, где USER - их имя пользователя. У них должен быть полный доступ на запись в этот каталог, а также возможность создавать и редактировать подкаталоги, но они должны быть полностью заблокированы для любых каталогов, расположенных выше в дереве файлов (они не должны иметь возможность перечислять, а тем более редактировать , / var / www / html / или / var / www / или / var / и т. д.)

Вот и все. Кажется просто, правда? И все же большинство примеров, которые я видел, связаны с блокировкой всех пользователей SFTP в едином общем каталоге или требуют, чтобы вы «заключили» вашего пользователя в его каталог / home / USER (что не сработает для веб-службы). Я не хочу этого.

Я делаю это в Ubuntu 16.04, на свежем экземпляре AWS EC-2.

Два подхода, которые я пробовал безуспешно:

• Установка HOME пользователя в / var / www / html / USER, Chroot помещает их в тюрьму в HOME. По какой-то причине это, похоже, не работает - это приводит к тому, что SFTP просто отказывается подключаться.

• Настройка стандартного каталога HOME для пользователя (например, с помощью adduser), создание веб-каталога пользователя, Chroot помещает их в тюрьму в веб-каталог. Мне просто не удалось заставить эту работу работать, несмотря на несколько дней попыток - учетные записи SFTP все еще в конечном итоге туннелируют в каталог HOME, и это часто означает, что они отклоняются тюрьмой Chroot.

В результате либо у пользователей слишком много свободы, либо они полностью заблокированы. Мне никогда не удавалось привести его в ситуацию, когда пользователь может видеть только правильный каталог и может его редактировать. Я пробовал все настройки chown в этом каталоге (например, user: user, user: sftp, root: root) и настройки разрешений, и, похоже, они не дали никакого эффекта. Мне здесь не хватает чего-то очевидного или глубокого.

Некоторые дополнительные детали - вот одна из моих попыток.

Вот соответствующие части / etc / ssh / sshd_config:

Subsystem sftp internal-sftp
Match Group sftp
ChrootDirectory %h
X11Forwarding no
AllowTcpForwarding no
ForceCommand internal-sftp

Что соответствует тому, что большинство руководств говорят, что вы должны делать.

Создаю нового пользователя:

adduser --disabled-password -gecos "" --ingroup sftp --shell /usr/sbin/nologin --home /var/www/html/testuser testuser

Что говорит:

Adding user `testuser' ...
Adding new user `testuser' (1001) with group `sftp' ...
Creating home directory `/var/www/html/testuser' ...
Copying files from `/etc/skel' ...

Затем я даю им пароль с помощью passwd.

Затем я пытаюсь войти в систему:

sftp testuser@myserver
testuser@myserver's password: 
packet_write_wait: Connection to myserver_ip: Broken pipe
Connection closed

Кажется, это связано с настройкой тюрьмы Chroot и не связано с какой-либо другой очевидной настройкой сервера. Если я закомментирую ChrootDirectory, он отлично подключается:

sftp testuser@myserver
testuser@myserver's password: 
Connected to myserver.
sftp> pwd
Remote working directory: /var/www/html/testuser

Но я делаю это, пользователь sftp может выйти из своего каталога и бродить по серверу, делая все, что ему заблагорассудится. Не хорошо!

Я также пробовал установить

 ChrootDirectory /var/www/html/%u

И это не меняет ничего, что я вижу (та же ошибка «Сломана труба», что и раньше). (И да, я перезапускаю ssh-сервер каждый раз, когда вношу изменения.)

Это текущие настройки для пользовательской папки:

drwxr-xr-x 4 testuser  sftp 4096 Aug 29 15:00 testuser

В некоторых инструкциях сказано, что для работы Chroot необходимо

chown root:root /var/www/html/testuser

Но я все еще получаю ошибку «Сломанная труба» с набором ChrootDirectory. Изменение разрешений на 777 тоже не меняет. (/ var / www / html принадлежит root: root, как / var / www / и / var /)

Другие вещи, которые я пробовал с / etc / ssh / sshd_config:

• изменив его на Subsystem sftp / usr / lib / openssh / sftp-server и закомментировав ForceCommand internal-sftp (без заметных изменений)

• Комментируя UsePAM, да (кто-то сообщил, что это помогло, но это просто заставляет sftp-сервер немедленно отклонять все соединения - «закрыто удаленным хостом»)