Как создать пользователя SSH и SFTP чтобы был доступ только к своей директории?

Question

[RoffDaniel]

Я находил здесь тикеты по подобному вопросу, но я все равно не понял, сделал все как здесь: https://unix.stackexchange.com/questions/208960/ho...

Но у меня вот такая вот ошибка, если это ошибкой можно назвать:

ноя 12 11:02:32 RD-PC sshd[5336]: Accepted password for kov from 192.168.0.168 port 63002 ssh2
ноя 12 11:02:32 RD-PC sshd[5336]: pam_unix(sshd:session): session opened for user kov by (uid=0)
ноя 12 11:02:32 RD-PC sshd[5336]: pam_unix(sshd:session): session closed for user kov
ноя 12 11:02:54 RD-PC sshd[5422]: Accepted password for kov from 192.168.0.168 port 63004 ssh2
ноя 12 11:02:54 RD-PC sshd[5422]: pam_unix(sshd:session): session opened for user kov by (uid=0)
ноя 12 11:02:54 RD-PC sshd[5422]: pam_unix(sshd:session): session closed for user kov

Заранее, спасибо большое!

Comments

[Ярослав]

Запустите SSH в foreground, например:
sudo /usr/sbin/sshd -p 2222 -d
и зайдите на этот порт (ssh user@host -p 2222)

сервер даст больше информации о том, что ему там не нравится. Если все равно непонятно - то `-dd` или `-ddd` чтобы было еще подробнее.

[RoffDaniel]

Ярослав Поляков,

debug1: Server will not fork when running in debugging mode.
debug1: rexec start in 5 out 5 newsock 5 pipe -1 sock 8
debug1: inetd sockets after dupping: 3, 3
Connection from 192.168.0.168 port 49747 on 192.168.0.192 port 2222
debug1: Client protocol version 2.0; client software version OpenSSH_7.6p1 Ubuntu-4ubuntu0.3
debug1: match: OpenSSH_7.6p1 Ubuntu-4ubuntu0.3 pat OpenSSH* compat 0x04000000
debug1: Local version string SSH-2.0-OpenSSH_7.6p1 Ubuntu-4ubuntu0.3
debug1: permanently_set_uid: 122/65534 [preauth]
debug1: list_hostkey_types: ssh-rsa,rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256,ssh-ed25519 [preauth]
debug1: SSH2_MSG_KEXINIT sent [preauth]
debug1: SSH2_MSG_KEXINIT received [preauth]
debug1: kex: algorithm: curve25519-sha256 [preauth]
debug1: kex: host key algorithm: ecdsa-sha2-nistp256 [preauth]
debug1: kex: client->server cipher: [e-mail] MAC: compression: none [preauth]
debug1: kex: server->client cipher: [e-mail] MAC: compression: none [preauth]
debug1: expecting SSH2_MSG_KEX_ECDH_INIT [preauth]
debug1: rekey after 134217728 blocks [preauth]
debug1: SSH2_MSG_NEWKEYS sent [preauth]
debug1: expecting SSH2_MSG_NEWKEYS [preauth]
debug1: SSH2_MSG_NEWKEYS received [preauth]
debug1: rekey after 134217728 blocks [preauth]
debug1: KEX done [preauth]
debug1: userauth-request for user kov service ssh-connection method none [preauth]
debug1: attempt 0 failures 0 [preauth]
debug1: user kov matched group list kov-mc at line 123
debug1: PAM: initializing for "kov"
debug1: PAM: setting PAM_RHOST to "192.168.0.168"
debug1: PAM: setting PAM_TTY to "ssh"
debug1: userauth-request for user kov service ssh-connection method password [preauth]
debug1: attempt 1 failures 0 [preauth]
debug1: PAM: password authentication accepted for kov
debug1: do_pam_account: called
Accepted password for kov from 192.168.0.168 port 49747 ssh2
debug1: monitor_child_preauth: kov has been authenticated by privileged process
debug1: monitor_read_log: child log fd closed
debug1: PAM: establishing credentials
User child is on pid 6686
debug1: SELinux support disabled
debug1: PAM: establishing credentials
bad ownership or modes for chroot directory component "/var/kov-mc/"
debug1: do_cleanup
debug1: do_cleanup
debug1: PAM: cleanup
debug1: PAM: closing session
debug1: PAM: deleting credentials
debug1: audit_event: unhandled event 12

[Ярослав]

RoffDaniel, bad ownership or modes for chroot directory component "/var/kov-mc/"
Вот и ответ. Надо медитировать на тему владельца-группы и прав доступа /var/kov-mc/

[Александр]

bad ownership or modes for chroot directory component "/var/kov-mc/"

В настройках что то не так - ChrootDirectory дурит -> /var/kov-mc/.

Answer 1

[avtomobili]

Геморно это но все таки решение есть, инструкция Ограничение доступа SFTP пользователя или SSH Chroot

Comments

[RoffDaniel]

Да я уже понял что у любого нового пользователя есть права только на свою папку /home/user/. Но я думал что можно сделать так, чтобы этот пользователь не мог выйти в главную директорию системы.

Answer 2

[Electrica]

Вот тут если я правильно понял вопрос конечно. Но именно по этой инструкции все отлично работает