chroot не работает на openssh 6.2

Question

Я пытаюсь получить chrooting на месте для соответствия PCI. Я хотел бы, чтобы несколько пользователей могли подключаться только через sftp, а не ftp (что я могу легко ограничить). Однако мне нужно, чтобы пользователи sftp были chrooted, чтобы они могли перемещаться по дереву и видеть все.

Я добавил это в мой файл ssd_config OpenSSH для проверки на одного пользователя первого:

Match User dbl 
ChrootDirectory %h 
AllowTCPForwarding no 
X11Forwarding no 
ForceCommand internal-sftp 

Когда я пытаюсь соединить я получаю этот выход:

$ sftp -v dbl@hostname 
OpenSSH_5.9p1, OpenSSL 0.9.8x 10 May 2012 
debug1: Reading configuration data /etc/ssh_config 
debug1: /etc/ssh_config line 20: Applying options for * 
debug1: /etc/ssh_config line 53: Applying options for * 
debug1: Connecting to hostname [x.x.x.x] port 22. 
debug1: Connection established. 
debug1: identity file /Users/me/.ssh/id_rsa type 1 
debug1: identity file /Users/me/.ssh/id_rsa-cert type -1 
debug1: identity file /Users/me/.ssh/id_dsa type -1 
debug1: identity file /Users/me/.ssh/id_dsa-cert type -1 
debug1: Remote protocol version 2.0, remote software version OpenSSH_6.2p2-hpn13v14 FreeBSD-openssh-portable-6.2.p2_2,1 
debug1: match: OpenSSH_6.2p2-hpn13v14 FreeBSD-openssh-portable-6.2.p2_2,1 pat OpenSSH* 
debug1: Enabling compatibility mode for protocol 2.0 
debug1: Local version string SSH-2.0-OpenSSH_5.9 
debug1: SSH2_MSG_KEXINIT sent 
debug1: SSH2_MSG_KEXINIT received 
debug1: kex: server->client aes128-ctr hmac-md5 none 
debug1: kex: client->server aes128-ctr hmac-md5 none 
debug1: SSH2_MSG_KEX_DH_GEX_REQUEST(1024<1024<8192) sent 
debug1: expecting SSH2_MSG_KEX_DH_GEX_GROUP 
debug1: SSH2_MSG_KEX_DH_GEX_INIT sent 
debug1: expecting SSH2_MSG_KEX_DH_GEX_REPLY 
debug1: Server host key: RSA 54:8b:66:39:15:d4:6f:ed:82:d4:c2:82:b0:a3:45:03 
debug1: Host 'hostname' is known and matches the RSA host key. 
debug1: Found key in /Users/me/.ssh/known_hosts:35 
debug1: ssh_rsa_verify: signature correct 
debug1: SSH2_MSG_NEWKEYS sent 
debug1: expecting SSH2_MSG_NEWKEYS 
debug1: SSH2_MSG_NEWKEYS received 
debug1: Roaming not allowed by server 
debug1: SSH2_MSG_SERVICE_REQUEST sent 
debug1: SSH2_MSG_SERVICE_ACCEPT received 
debug1: Authentications that can continue: publickey,password 
debug1: Next authentication method: publickey 
debug1: Offering RSA public key: /Users/me/.ssh/id_rsa 
debug1: Authentications that can continue: publickey,password 
debug1: Trying private key: /Users/me/.ssh/id_dsa 
debug1: Next authentication method: password 
dbl@hostname's password: 
debug1: Authentication succeeded (password). 
Authenticated to hostname ([x.x.x.x]:22). 
debug1: channel 0: new [client-session] 
debug1: Requesting no-more-sessions@openssh.com 
debug1: Entering interactive session. 
debug1: channel 0: free: client-session, nchannels 1 
debug1: fd 0 clearing O_NONBLOCK 
Connection to hostname closed by remote host. 
Transferred: sent 1920, received 2560 bytes, in 0.0 seconds 
Bytes per second: sent 1111840.9, received 1482454.5 
debug1: Exit status -1 
Connection closed 

Как вы можете видеть, сразу после Я ввожу пароль, который позволяет мне войти, а затем сразу же закрывает соединение. Он даже не вызывает подсказку sftp, как должно. Я пробовал несколько других сообщений здесь, которые кажутся связанными, но никуда не денутся.

У каждого пользователя есть/bin/sh в качестве оболочки.

Answer 1

Я видел кучу подобных проблем люди имели с SFTP в прошлом, и большую часть времени она была решена путем добавления в верхней строке, которая не хватает вашему sshd_config

Subsystem  sftp  internal-sftp 
Match Group sftponly 
    ChrootDirectory /home/%u 
    ForceCommand internal-sftp 
    AllowTcpForwarding no 

Кроме того, если вы планируете для добавления еще нескольких пользователей, вероятно, было бы разумно настроить группу sftp, например, мою конфигурацию ниже.

Я положил сообщение в блоге немного назад, но для openssh-5. Также содержит грязный, но эффективный интерактивный скрипт для настройки нового пользователя за считанные секунды. Используйте его все время для работы, когда на клиент приходит новый клиент.

http://264nmtechblog.wordpress.com/2013/10/

Надеется, что это некоторая помощь - если не возможно разместить свой/вар/Журнала/безопасным, который может дать вам лучшие головы, если вашей проблема разрешения на основе.