SFTP chroot в Ubuntu 12.04

хочу в Ubuntu 12.04 ограничить доступ пользователям по SFTP только их домашней директорией

делаю вроде бы всё по мануалам:

1. создаю группу sftp, загоняю в неё всех нужных юзеров

2. в /etc/ssh/sshd_config вношу изменения:

...
#Subsystem sftp /usr/lib/openssh/sftp-server

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
#UsePAM yes

Subsystem sftp internal-sftp
Match Group sftp
    ChrootDirectory %h
    AllowTCPForwarding no
    X11Forwarding no
    ForceCommand internal-sftp

3. у юзеров успешно слетает доступ по SSH вообще :madd:

ЧЯДНТ ?