Dotaz: Write failed: Broken pipe při pokusu o ssh login do chroot

[Petr]

Dobrý den, snažím se uživatele omezit na přístup přes ssh pouze do jedho home složky. Našel jsem že to udělám takto v sshd_config:

Match group chroothome
    ChrootDirectory %h
    X11Forwarding no
    AllowTcpForwarding no

Uživatle je ve skupině chroothome a normálně jsem se s ním přihlásíl přes ssh, ale když jsem přidal tyto řádky tak už to nejde. Po zadání hesla to vyhodí:

Write failed: Broken pipe

Ví někdo co dělám špatně? Díky

Odpovědi

[GeorgeWH]

pokial sa dobre pamatam, tak vlastnikom home adresara usera by mal byt root.

[Petr]

Díky za typ, ale bohužel majitelem je root

[NN]

a nesmi byt group writable..

[R]

Pozri to logov. Napriklad auth.log.

[Petr]

Děkuji moc opravdu to bylo v tom oprávnění. Teď už se přihlásí, ale hned ho to zase odhlásí s chybou: Could not chdir to home directory /var/www/test/: No such file or directory (složka samozřejmě existuje právě jsem jí nastavoval ty práva) Nějaké další rady?

[Petr]

Hmm tak jsem vytvořil složku var/www/test ve složce /var/www/test (tedy /var/www/test/var/www/test) a už to tu chybu nehlásí, teď to zase hlásí /bin/bash not found. Tak teď nechápu dvě věci:
Jednak jak mám zařídit abych nemusel to cestu vytvářet znovu v té sestě kam se chrootnu a pa jaktože mi nejde bin/bash (celý jsem ho zkopíroval z /bin/bash do /var/www/test/bin/bash)? Díky mockrát!

[lertimir]

Trochu moc nechápu, o co se vlastně snažíš. Pokud mám být normální uživatel, který se přes SSH přihlásí, mám shell tak potřebuji přístup do celého systému, do /usr/bin na spouštění příkazů, lib adresáře ty příkazy potřebují na knihovny atd. Když ho takhle chrootneš nemá nic, ani pitomý ls. A musíš vše, co mu povolíš, nakopírovat (nebo na hardlinkovat pokud je to na jednom FS) správně, včetně všech knihoven a konfigurací, do jeho stromu. Otázka je proč?

Ten bash nejde protože není staticky slinkovaný a potřebuje knihovny, které v tom chrootu nemáš. A nezařídíš to nijak. Chroot prostě změní root a pod tím novým rootem musíš mít systém podle Linux Filesystem Hierarchy.

[Peter Golis]

Asikôli scp. Kedysi bol na toto vytvorený nejaký balík čo sa myslím volal scponly a riešil shell pre obmedzených užívateľov..

[lertimir]

To je možné, ale je potřeba, aby napsal, oč se fakticky snaží. Mnoho se dá také řešit přes ACL, pokud chce uživatele nějak omezovat.

[Petr]

No snažím se o to, aby se uživatel přihlásil přes SSH, byl uzamčený ve složce /var/www/test (neviděl nic z žádného nadadresáře) a mohl jen skočit do podadresáře (cd addresar) a spustil gulp. To je vše. Možná na to jdu úplně špatně rád si nechám poradit. Díky

[Peter Golis]

Áno. Odporučil by som teda pohľadať ten scponly v správcovi software.