sshd (права доступа)

[user]

Пожскажите, пожалуйста, как ограничить права доступа пользователю по SSH?
Так, чтобы он не мог выходить выше своей домашней директории, лазеть там, где не надо и т. п.

[xnu!l]

user
http://www.debian.org/doc/manuals/securing...ssh-env.en.html

[user]

очень информативно и очень понятно.

[Kaz_n]

А может просто банальной командой chmod?
Конечно геморно, но все же проще чем то что описывается в ссылке, указанной выше.

[xnu!l]

Так, чтобы он не мог выходить выше своей домашней директории

Вы попросили chroot и получили chroot =)

[user]

Тоесть расставить на все каталоги в "/" chmod без разрешения выполнения для других пользователей?
А я после загружусь сам то хоть?

[Kaz_n]

Тоесть расставить на все каталоги в "/" chmod без разрешения выполнения для других пользователей?
А я после загружусь сам то хоть?

Почитай ман!
У меня так вся система настроена - Mandriva, правда там я только уровень безопасности задал, а она уже сама все сделала

Примеры прав:
/home = 0751, /etc = 0711, ~/ = 0700, / = 0751
Пользователи могут ходить по каталогам почти везде, а вот читать и просматривать что либо в них никак!
В общем user может что-либо делать только у себя в директории!

[(asper]

ИМХО закрывать юзеров в их директориях chroot-ом и не эксперементировать со своей корневой фс
Как сделать не знаю , т.к. не разу ещё не было нужды, но знаю что можно и не очень сложно, где-то я читал в и-нете про это.

[admiral]

Почитай ман!
У меня так вся система настроена - Mandriva, правда там я только уровень безопасности задал, а она уже сама все сделала

Примеры прав:
/home = 0751, /etc = 0711, ~/ = 0700, / = 0751
Пользователи могут ходить по каталогам почти везде, а вот читать и просматривать что либо в них никак!
В общем user может что-либо делать только у себя в директории!

А в каталоги /bin /sbin /usr /tmp какие права?

[Kaz_n]

admiral

ls -all /

Код: Выделить всё

drwxr-x--x  21 root adm     4096  ./
drwxr-x--x  21 root adm     4096  ../
-rw-r--r--   1 root root       0  .autofsck
drwxr-x--x   2 root adm     4096 bin/
drwx--x---   3 root ctools  4096 boot/
drwx--x--x  15 root root   34500 dev/
drwx--x--x 103 root adm     8192 etc/
drwxr-x--x   6 root adm     4096 home/
drwxr-xr-x   2 root root    4096 initrd/
drwx------   3 root root    4096 .kde/
drwxr-x--x  13 root adm     4096 lib/
drwxr-x---  10 root adm     4096 mnt/
drwx------   2 root root    4096 .mozilla/
-rw-r--r--   1 root root       0 named.co
drwxr-xr-x   2 root root    4096 opt/
dr-xr-x---  89 root adm        0 proc/
-rw-------   1 root root    1024 .rnd
drwx------  27 root root    4096 root/
drwxr-x--x   2 root adm     4096 sbin/
drwxr-xr-x  11 root root       0 sys/
drwxrwx-wt  15 root adm     4096 tmp/
drwxr-x--x  14 root adm     4096 usr/
drwxr-xr-x  22 root root    4096 var/
drwxr-xr-x   2 root root    4096 .xdg_menu_cache

но это все в прошлом, я этот сервак уже неделю как не админю

[user]

cd /var/www/
mc

и лазей где хочешь, по типу, по подкаталогам уровнем ниже?

[Kaz_n]

cd /var/www/
mc

и лазей где хочешь, по типу, по подкаталогам уровнем ниже?

Лазить может почти где угодно, только вот при команде ls у простого пользователя выдется
Доступ запрещен и в том же mc он не увидит содержимое каталогов!

переход по каталогам он может делать только чисто на интуитивном уровне.

[user]

а на домашние директории юзеров какой chmod поставить?
в плане на /home/каждый_юзер

[Kaz_n]

Только 700 и больше никак. я бы еще сделал отдельный раздел под /home и монтировался он у меня только с опциями nosuid и noexec и пусть седят себе и не вякают!

[serg_sk]

Гляньте в сторону openssh+chroot, а именно Setting up chrooted sftp in linux
Суть такова, что если у юзера в /etc/passwd указан домашний каталог как /chroot/./home/someuser, то юзер будет чрутится и соответственно по системе лазить не будет.

P.S. Надо у себя настроить, а то развелось всяких...

[admiral]

Гляньте в сторону openssh+chroot, а именно Setting up chrooted sftp in linux
Суть такова, что если у юзера в /etc/passwd указан домашний каталог как /chroot/./home/someuser, то юзер будет чрутится и соответственно по системе лазить не будет.

P.S. Надо у себя настроить, а то развелось всяких...

А им в свою папку не нужно будет копировать основное дерево катологов? А то из chroot'а же даже ls не будет доступна.

[serg_sk]

admiral
Нужно будет подготовить кое какое окружение. Там кстати написано