Sftp права доступа?

Question

[Александр]

Здравствуйте, проблема с sftp cоздал пользователя test и папку /home/test/upload, права на папку test(drwxr-xr-x root root ) на upload (drwxr-xr-x test test ), при подключение через sftp нет прав на создание или изменение файлов в папке upload.
Побывал дать полные права на папку chmod 777 /home/test/upload результату 0.
конфиг sftp

#	$OpenBSD: sshd_config,v 1.80 2008/07/02 02:24:18 djm Exp $



Port 22
Protocol 2
SyslogFacility AUTHPRIV
LogLevel INFO
AuthorizedKeysFile	%h/.ssh/authorized_keys
PasswordAuthentication yes
ChallengeResponseAuthentication no
GSSAPIAuthentication yes
GSSAPICleanupCredentials yes
UsePAM yes
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE
AcceptEnv XMODIFIERS
X11Forwarding no

PermitRootLogin no
Subsystem sftp internal-sftp 
Match User test
RSAAuthentication yes
PubkeyAuthentication yes

ChrootDirectory %h/upload

Comments

[Saboteur]

Вроде как все верно.
Саму папку пользователь видит? Подключение происходит?
Прочитать файл из папки пользователь по sftp может?

[Александр Маджугин]

Saboteur, я почти уверен в том что проблема в правах на ~/.ssh, но и домашнюю папку запрещать для записи пользователю и отдавать root это дикость. Это тоже может вести к проблемам с работой ssh, а следовательно и sftp.

[Александр]

Saboteur, ssh после применения ChrootDirectory %h/upload не работает

Answer 1

[Александр]

кому интересно решение проблемы:
ChrootDirectory %h
chown root:test /home/test
chmod 755 /home/test
внутри папка с upload (drwxr-xr-x test test ),
и вырубить setenforce 0

Answer 2

[Александр Маджугин]

С одной стороны все правильно. С другой стороны странно что у вас вообще работает ssh, в условиях когда домашняя директория не принадлежит пользователю. Как вы вообще до этого додумались?
Смотрите какая штука - если домашняя директория не принадлежит пользователю и если директория ~/.ssh не принадлежит пользователю и (это важно) имеет права отличные от drwx------ не чего надеяться что ssh и все что в него завернуто (тонели, sftp и т.п.) будет работать правильно.

В чем цель такой нарезки прав?

Comments

[Александр]

Цель: по Sftp по ключу будут подключатся и заливать контент, нужно сделать так чтобы дальше папки они не могли зайти.
ssh после применения ChrootDirectory %h/upload не работает

[Александр Маджугин]

ssh после применения ChrootDirectory %h/upload не работает

Но без опции работает? Или вы одновременноы и ChrootDirectory установили и права задали такие?

[Александр]

Или вы одновременно и ChrootDirectory установили и права задали такие?

Одновременно. Если просто задать ChrootDirectory %h то sftp не работе

[Александр Маджугин]

Александр, ну так а зачем вы пытаетесь решить одну задачу двумя способами одновременно?
Верните права на нормальные и тогда уже эксперементируйте с ChrootDirectory

[Александр Маджугин]

Александр, а, кстати вот еще - я сталкивался с таким, что %h не работает в путях некоторых. Возможно и в ChrootDirectory - попробуйте указать абсолютный путь.

[Александр]

Александр Маджугин, создал нового пользователя, указал ChrootDirectory %h не работает если ChrootDirectory /home подключается но не видно папки пользователя, побывал в папке /home создавать файлы и папки от имени пользователя

[Александр Маджугин]

1 Вы права исправили?
2 А зачем ChrootDirectory /home? Делайте сразу нужный - /home/test/upload

[Александр]

Александр Маджугин, новый пользователь warner и права на папки
ChrootDirectory /home/warner/upload
отбивает ошибкою

[Александр Маджугин]

Александр, написано что аутентификация не пройдена только если ChrootDirectory задан? А если не задан все ок?
Скопируйте каталог ~/.ssh в chroot.

[Александр]

Александр Маджугин,

только если ChrootDirectory задан

да, без ChrootDirectory ок или если поставить ChrootDirectory /

Скопируйте каталог ~/.ssh в chroot.

не дало результату

[Александр Маджугин]

Александр, да, черт - он ключ не может у вас найти...

[Александр Маджугин]

Александр, попробуйте по паролю пока разрешить и зайти с паролем.

[Александр]

Александр Маджугин, печально. вроде понятно где проблема но как решить хз, есть предложения как выйти с ситуации?

[Александр Маджугин]

Александр, авторизация по паролю вообще не устраивает?

[Александр]

Александр Маджугин, тот кто будет заливать на sftp контент сказал что только ключ

[Александр Маджугин]

Александр, ну попробуйте StrictModes в no выставить на всякий случай и если не поможет - гуглите похожие ситуации когда авторизация по ключу отваливается именно когда задан ChrootDirectory - кто то же должен был с этим сталкиваться.

[Александр]

Александр Маджугин, проблема была в SElinux
setenforce 0 и норм стало

[Александр Маджугин]

Александр, аааааааааааааааааа.....
Блин, долбаный SElinux.