Max's Blog

今日升级了一下openssh，用了里面的自带chroot来实现SFTP的目录权限限制，详细如下：

首先升级openssh，目前版本是5.2p2，要使用ChrootDirectory需要4.8以上的版本

centos下：

./configure –prefix=/usr –sysconfdir=/etc/ssh –with-pam –with-kerberos5 –with-md5-passwords –with-tcp-wrapper

make

make install

 

编辑/etc/ssh/sshd_config

把

Subsystem      sftp    /usr/libexec/openssh/sftp-server

替换为

Subsystem sftp internal-sftp

开启内部sftp server支持

增加：

AuthorizedKeysFile /home/%u/.ssh/authorized_keys

Match group sftponly
  ChrootDirectory /home/%u
  X11Forwarding no
  AllowTcpForwarding no
  ForceCommand internal-sftp

 保存退出。

/etc/init.d/sshd restart

重启sshd 服务

假设user是ssmax

# chown root.root /home/ssmax
# usermod -d /sftp ssmax

# mkdir /home/ssmax/sftp

# chown ssmax.ssmax /home/ssmax/sftp

# groupadd sftponly
# adduser user sftponly

 

由于chroot必须目录是只有root可写，所以我们 ChrootDirectory /home/%u 之后，必须把  /home/%u 改为root权限。

而把用户根目录改成/sftp，其实就是在chroot以后自动进入/home/%u/sftp目录，该目录才是用户可写的

这里有个必须要注意的地方就是，用户Key验证的时候，读取的key文件是在还没有chroot之前就读取的，所以如果改变了用户根目录，默认ssh就回去/sftp/.ssh/authorized_keys 里面读取公钥，这个目录当然是不存在的，所以我们要改变默认的key读取方式：

AuthorizedKeysFile /home/%u/.ssh/authorized_keys

当然也有例外一种解决方法，就是在/home/%u下面，再建立 /home/%u/home/%u

这样key验证会在 /home/%u/.ssh/authorized_keys 下面进行

chroot登录后直接就进入 /home/%u/home/%u，但是这样的话，好像目录就太多层了，而且也很混乱，哈哈。

 

整个sftp的过程：

首先用key登录ssh：

查找AuthorizedKeysFile 指定的key文件，如果是相对路径，就查找当前登录用户根目录（/etc/passwd）下的.ssh/authorized_keys文件

登录ssh后chroot 到 ChrootDirectory 设置的目录，改目录必须是只有root可写。

chroot以后进入用户根目录，这个时候根目录还是读取（/etc/passwd）里面的设置，但是根是相对于ChrootDirectory 的存在了，比如ssmax的根目录是/home/ssmax，ChrootDirectory 也是/home/ssmax

这个时候用户的根目录就在 /home/ssmax/home/ssmax 里面了。

 

当然如果不用key的话就不用搞得这么复杂咯，哈哈。