FTP User auf Ordner außerhalb des /home Verzeichnisses limitieren.

**linuxbert** · 08.11.22, 13:57

Hallo,

ich möchte auf einem Ubuntu 20.4 Server via FTP Zugang auf einen bestimmten Ordner im /opt/ordner Verzeichnis gewähren.
Und nur dieser Ordner darf über FTP (von außen über WinSCP) erreichbar sein! Der User darf nirgends woanders hin, er soll wirklich nur Zugriff auf diesen einen Ordner haben.

Code:

chroot_local_user=YES

--> verhindert das (logischerweise)

Ich habe irgendwas mit

Code:

mout --bind

ergoogelt, was mir aber auch nicht geholfen hat.

Weiß jemand wie man das genau macht?

LG

**temir** · 08.11.22, 15:38

Falls der User nur sftp/scp machen können soll ohne eine shell starten zu dürfen:
*****

1. sudo groupadd -g 50000 -K GID_MAX=60000 sftponly
2. sudo mkdir -p /opt/chroot/austausch/transfer
3. sudo useradd -d /opt/chroot/austausch -g sftponly -M -N -K UID_MAX=99999 -s /bin/false -u 60000 austausch
4. sudo chown austausch:sftponly /opt/chroot/austausch/transfer

5.
sshd_config:

Code:

...
...
# Group sftponly
Match Group sftponly
        ChrootDirectory %h
        ForceCommand internal-sftp -d transfer
        X11Forwarding no
        AllowTcpForwarding no
        Banner none
        PermitTTY no

Für FTP - im Fall von vsftpd - lässt sich gute Doku finden. Der Anfang mit "chroot_local_user=YES" war schon mal gut.

**linuxbert** · 09.11.22, 08:15

Zitat von temir

Falls der User nur sftp/scp machen können soll ohne eine shell starten zu dürfen:
*****

1. sudo groupadd -g 50000 -K GID_MAX=60000 sftponly
2. sudo mkdir -p /opt/chroot/austausch/transfer
3. sudo useradd -d /opt/chroot/austausch -g sftponly -M -N -K UID_MAX=99999 -s /bin/false -u 60000 austausch
4. sudo chown austausch:sftponly /opt/chroot/austausch/transfer

5.
sshd_config:

Code:

...
...
# Group sftponly
Match Group sftponly
        ChrootDirectory %h
        ForceCommand internal-sftp -d transfer
        X11Forwarding no
        AllowTcpForwarding no
        Banner none
        PermitTTY no

Für FTP - im Fall von vsftpd - lässt sich gute Doku finden. Der Anfang mit "chroot_local_user=YES" war schon mal gut.

Vielen Dank für die detaillierte Antwort. "chroot_local_user=YES" verhindert doch, dass der User außerhalb von /home/user Zugriff hat. Oder habe ich das falsch verstanden?

LG

**temir** · 09.11.22, 08:50

Stimmt, damit werden alle in $HOME eingesperrt.
Besser wäre:
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd.chroot_list

Inhalt von /etc/vsftpd.chroot_list :
austausch

Aber:
Seitens vsftpd wird der User austausch nur nach /opt/chroot/austausch "eingesperrt",
muss dann via "cd transfer" ins Verzeichnis mit Schreibrechten wechseln.

Mögliche Lösung:
1. sudo usermod -d /opt/chroot/austausch/transfer
2. sshd_config:
ChrootDirectory /opt/chroot/%u

==> der Rest bleibt. Dann soll es von beiden Seiten klappen.

**linuxbert** · 10.11.22, 14:23

Zitat von temir

Stimmt, damit werden alle in $HOME eingesperrt.
Besser wäre:
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd.chroot_list

Inhalt von /etc/vsftpd.chroot_list :
austausch

Aber:
Seitens vsftpd wird der User austausch nur nach /opt/chroot/austausch "eingesperrt",
muss dann via "cd transfer" ins Verzeichnis mit Schreibrechten wechseln.

Mögliche Lösung:
1. sudo usermod -d /opt/chroot/austausch/transfer
2. sshd_config:
ChrootDirectory /opt/chroot/%u

==> der Rest bleibt. Dann soll es von beiden Seiten klappen.

Schließe ich mich dann damit SSH-seitig nicht selber aus?

**temir** · 12.11.22, 10:02

Zum einen: muss du immer den ganzen Beitrag zitieren? Begrenze dich doch bitte aufs Wesentliche.

Zum zweiten: nicht zweifeln, testen! Wie sieht es mit der Eigeninitiative aus?

**linuxbert** · 14.11.22, 09:19

Ich habe es getestet und man schließt sich dann SSL-seitig aus. Deswegen meine Frage. Danke für deinen Beitrag. Du musst ja nicht gleich ausrasten und respektlos werden. Ich wollte dich in keiner Weise provozieren oder kränken.

**temir** · 14.11.22, 18:05

Wo bin ich denn ausgerastet? Es ist einfach mühsam, viel Text durchscrollen zu müssen, um an eine/paar Zeilen Infos zu kommen.
Wenn man dich bittet:

Begrenze dich doch bitte aufs Wesentliche.

betrachtest du es als respektlos? Bin ich denn alleine, wenn ich nur den schwarzen Text auf hellem Untergrund sehe?
Keine Emotionen, nur Text.

OK, offtopic beiseite.
Was genau hast du gemacht und wie sperrst du dich aus?

**linuxbert** · 15.11.22, 11:36

Zitat von temir

Was genau hast du gemacht und wie sperrst du dich aus?

Zitat von temir

2. sshd_config:
ChrootDirectory /opt/chroot/%u

Zumindest komme ich so nicht mehr über SCP rein.

**temir** · 15.11.22, 17:40

ChrootDirectory /opt/chroot/%u

==> der Rest bleibt. Dann soll es von beiden Seiten klappen.

Und was heißt hier der Rest bleibt (sshd_config wohl gemeint)?
Schau dir meinen ersten Beitrag an. Wenn du keinen "Match" angibst, dann gilt es selbstverständlich für alle.
Deswegen extra group / user.

**linuxbert** · 16.11.22, 12:43

So, es scheint zu funktionieren Match User 'user' hatte ich tatsächlich vergessen auszukommentieren bzw. die config zu speichern. Vielen Dank erstmal!