在某些环境中,系统管理员想要允许极少数用户在可以传输文件到Linux机器中,但是不允许使用 SSH。要实现这一目的,我们可以使用SFTP,并为其构建chroot环境。
SFTP & chroot背景:
[img]http://dl2.iteye.com/upload/attachment/0113/7744/085fbafe-654f-3bc8-9056-3a2c381590fa.gif[/img]
SFTP是指SSH文件传输协议(SSH File Transfer protocol)或安全文件传输协议(Secure File Transfer Protocol),它提供了可信数据流下的文件访问、文件传输以及文件管理功能。当我们为SFTP配置chroot环境后,只有被许可的用户可以访问,并被限制到他们的家目录中,换言之:被许可的用户将处于牢笼环境中,在此环境中它们甚至不能切换它们的目录。
在本文中,我们将配置RHEL 6.X 和 CentOS 6.X中的SFTP Chroot环境。我们开启一个用户帐号‘Jack’,该用户将被允许在Linux机器上传输文件,但没有ssh访问权限。
步骤:1 创建组
# [color=red]groupadd sftp_users[/color]
步骤:2 分配附属组(sftp_users)给用户
如果用户在系统上不存在,使用以下命令创建( LCTT 译注:这里给用户指定了一个不能登录的 shell,以防止通过 ssh 登录):
# [color=red]useradd -G sftp_users -s /sbin/nologin jack[/color]
# [color=red]passwd jack
[/color]
对于已经存在的用户,使用以下usermod命令进行修改:
#[color=red] usermod –G sftp_users -s /sbin/nologin jack
[/color]
注意:如果你想要修改用户的默认家目录,那么可以在useradd和usermod命令中使用‘-d’选项,并设置合适的权限。
步骤:3 现在编辑配置文件 “/etc/ssh/sshd_config”
[color=red]
# vi /etc/ssh/sshd_config
#comment out the below line and add a line like below
#Subsystem sftp /usr/libexec/openssh/sftp-server
Subsystem sftp internal-sftp
# add Below lines at the end of file
Match Group sftp_users
X11Forwarding no
AllowTcpForwarding no
ChrootDirectory %h
ForceCommand internal-sftp[/color]
此处:
- Match Group sftp_users – 该参数指定以下的行将仅仅匹配sftp_users组中的用户
- ChrootDirectory %h – 该参数指定用户验证后用于chroot环境的路径(默认的用户家目录)。对于用户 Jack,该路径就是/home/jack。
- ForceCommand internal-sftp – 该参数强制执行内部sftp,并忽略任何~/.ssh/rc文件中的命令。
重启ssh服务
#[color=red] service sshd restart[/color]
步骤:4 设置权限:
# [color=red]chmod 755 /home/jack[/color]
# [color=red]chown root /home/jack[/color]
# [color=red]chgrp -R sftp_users /home/jack[/color]
如果你想要允许jack用户上传文件,那么创建一个上传文件夹,设置权限如下:
#[color=red] mkdir /home/jack/upload[/color]
#[color=red] chown jack. /home/jack upload/[/color]
步骤:5 现在尝试访问系统并进行测试
尝试通过ssh访问系统
[img]http://dl2.iteye.com/upload/attachment/0113/7746/e824a9ab-d042-35e7-8873-0f0297786362.png[/img]
正如下图所示,用户jack通过SFTP登录,而且因为chroot环境不能切换目录。
[img]http://dl2.iteye.com/upload/attachment/0113/7748/472a27be-abef-33a7-8e97-805da33b5211.png[/img]
现在进行上传和下载测试,如下图:
[img]http://dl2.iteye.com/upload/attachment/0113/7750/6554d7d8-5df6-3ea0-8625-622ea1aec2a4.png[/img]
正如上图所示,jack用户的上传下载功能都工作得很好。
SFTP & chroot背景:
[img]http://dl2.iteye.com/upload/attachment/0113/7744/085fbafe-654f-3bc8-9056-3a2c381590fa.gif[/img]
SFTP是指SSH文件传输协议(SSH File Transfer protocol)或安全文件传输协议(Secure File Transfer Protocol),它提供了可信数据流下的文件访问、文件传输以及文件管理功能。当我们为SFTP配置chroot环境后,只有被许可的用户可以访问,并被限制到他们的家目录中,换言之:被许可的用户将处于牢笼环境中,在此环境中它们甚至不能切换它们的目录。
在本文中,我们将配置RHEL 6.X 和 CentOS 6.X中的SFTP Chroot环境。我们开启一个用户帐号‘Jack’,该用户将被允许在Linux机器上传输文件,但没有ssh访问权限。
步骤:1 创建组
# [color=red]groupadd sftp_users[/color]
步骤:2 分配附属组(sftp_users)给用户
如果用户在系统上不存在,使用以下命令创建( LCTT 译注:这里给用户指定了一个不能登录的 shell,以防止通过 ssh 登录):
# [color=red]useradd -G sftp_users -s /sbin/nologin jack[/color]
# [color=red]passwd jack
[/color]
对于已经存在的用户,使用以下usermod命令进行修改:
#[color=red] usermod –G sftp_users -s /sbin/nologin jack
[/color]
注意:如果你想要修改用户的默认家目录,那么可以在useradd和usermod命令中使用‘-d’选项,并设置合适的权限。
步骤:3 现在编辑配置文件 “/etc/ssh/sshd_config”
[color=red]
# vi /etc/ssh/sshd_config
#comment out the below line and add a line like below
#Subsystem sftp /usr/libexec/openssh/sftp-server
Subsystem sftp internal-sftp
# add Below lines at the end of file
Match Group sftp_users
X11Forwarding no
AllowTcpForwarding no
ChrootDirectory %h
ForceCommand internal-sftp[/color]
此处:
- Match Group sftp_users – 该参数指定以下的行将仅仅匹配sftp_users组中的用户
- ChrootDirectory %h – 该参数指定用户验证后用于chroot环境的路径(默认的用户家目录)。对于用户 Jack,该路径就是/home/jack。
- ForceCommand internal-sftp – 该参数强制执行内部sftp,并忽略任何~/.ssh/rc文件中的命令。
重启ssh服务
#[color=red] service sshd restart[/color]
步骤:4 设置权限:
# [color=red]chmod 755 /home/jack[/color]
# [color=red]chown root /home/jack[/color]
# [color=red]chgrp -R sftp_users /home/jack[/color]
如果你想要允许jack用户上传文件,那么创建一个上传文件夹,设置权限如下:
#[color=red] mkdir /home/jack/upload[/color]
#[color=red] chown jack. /home/jack upload/[/color]
步骤:5 现在尝试访问系统并进行测试
尝试通过ssh访问系统
[img]http://dl2.iteye.com/upload/attachment/0113/7746/e824a9ab-d042-35e7-8873-0f0297786362.png[/img]
正如下图所示,用户jack通过SFTP登录,而且因为chroot环境不能切换目录。
[img]http://dl2.iteye.com/upload/attachment/0113/7748/472a27be-abef-33a7-8e97-805da33b5211.png[/img]
现在进行上传和下载测试,如下图:
[img]http://dl2.iteye.com/upload/attachment/0113/7750/6554d7d8-5df6-3ea0-8625-622ea1aec2a4.png[/img]
正如上图所示,jack用户的上传下载功能都工作得很好。