Aug 10 20:22:22 nginx sshd[13837]: fatal: bad ownership or modes for chroot directory component "/var/www/"
как я выше и написал, права на диру не нравятся.
Конечно все это делай на тестовом сервере, на боевом не стоит, мало ли чего. вдруг что-то не понравится к примеру селинуксу и он убьет сессии или другая проблема. с начало на тестовом сервере обкатай.
# This is the ssh client system-wide configuration file. See
# ssh_config(5) for more information. This file provides defaults for
# users, and the values can be changed in per-user configuration files
# or on the command line.
# Configuration data is parsed as follows:
# 1. command line options
# 2. user-specific file
# 3. system-wide file
# Any configuration value is only changed the first time it is set.
# Thus, host-specific definitions should be at the beginning of the
# configuration file, and defaults at the end.
# Site-wide defaults for some commonly used options. For a comprehensive
# list of available options, their meanings and defaults, please see the
# ssh_config(5) man page.
Host *
# ForwardAgent no
# ForwardX11 no
# ForwardX11Trusted yes
# RhostsRSAAuthentication no
# RSAAuthentication yes
# PasswordAuthentication yes
# HostbasedAuthentication no
# GSSAPIAuthentication no
# GSSAPIDelegateCredentials no
# GSSAPIKeyExchange no
# GSSAPITrustDNS no
# BatchMode no
# CheckHostIP yes
# AddressFamily any
# ConnectTimeout 0
# StrictHostKeyChecking ask
# IdentityFile ~/.ssh/identity
# IdentityFile ~/.ssh/id_rsa
# IdentityFile ~/.ssh/id_dsa
# Port 22
# Protocol 2,1
# Cipher 3des
# Ciphers aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,aes128-cbc,3des-cbc
# MACs hmac-md5,hmac-sha1,umac-64@openssh.com,hmac-ripemd160
# EscapeChar ~
# Tunnel no
# TunnelDevice any:any
# PermitLocalCommand no
# VisualHostKey no
# ProxyCommand ssh -q -W %h:%p gateway.example.com
# RekeyLimit 1G 1h
SendEnv LANG LC_*
HashKnownHosts no
GSSAPIAuthentication yes
GSSAPIDelegateCredentials no
Subsystem sftp internal-sftp
Match User com
X11Forwarding no
AllowTcpForwarding no
AllowAgentForwarding no
ermitTunnel no
ForceCommand internal-sftp
ChrootDirectory /var/www/com
---------- Добавлено 10.08.2017 в 13:46 ----------
такое впечатление что файл ssh_config не обрабатывается.
прописал туда
в надежде открубить доступ юзера по ssh (юзер в группу добавил и проверил что он там), перезагрузил ssh - но доступ остался.
Dram: Есть впс с Дебианом 8 без панели. Сделал клон сайта и хочу дать ФТП доступ разработчику. Дайте плиз ссылочку как проще всего добавить нового юзера, который бы имел доступ для правки только в указанную директорию?
Попробуй сделать так.
com:x:1000:1000::/var/www/com/www:/bin/sh
после меняем владельца com диры.
chown root:wheel /var/www/com
После попробуй авторизоваться по sftp клиенту.
---------- Добавлено 10.08.2017 в 20:53 ----------
покажи полный конфиг ssh
egrep -v '^$|#' /etc/ssh/sshd_config
egrep -v '^$|#' /etc/ssh/ssh_config
---------- Добавлено 10.08.2017 в 20:56 ----------
Проверил у себя, у меня работает.
$ sftp bas@8.5.3.9
Password for bas@bas_ru:
Connected to 8.5.3.9.
sftp> pwd
Remote working directory: /
sftp> ls -al
drwxr-xr-x 3 0 0 512 May 1 10:26 .
drwxr-xr-x 3 0 0 512 May 1 10:26 ..
drwxr-xr-x 5 1001 1001 1024 Dec 7 2015 www
sftp> cd ..
sftp> ls -al
drwxr-xr-x 3 0 0 512 May 1 10:26 .
drwxr-xr-x 3 0 0 512 May 1 10:26 ..
drwxr-xr-x 5 1001 1001 1024 Dec 7 2015 www
sftp> exit
как я выше и написал, права на диру не нравятся.
Конечно все это делай на тестовом сервере, на боевом не стоит, мало ли чего. вдруг что-то не понравится к примеру селинуксу и он убьет сессии или другая проблема. с начало на тестовом сервере обкатай.
Так давайте еще раз..... Дебиан 8 панели нет
Мне нужен sftp доступ в нужную диреткорию для отдельного юзера и чтобы он выше не мог лазить.
Создал юзера, в файле passwd сейчас запись такая
В файле sshd_config в конец добавляю
В итоге у всех отрубает доступ. Благо в путти ссесию не закрывает и я откатываю обратно.
убираю строку
У рута доступ появляется, у com нет
В общем не знаю как дальше пробовать...
---------- Добавлено 10.08.2017 в 20:23 ----------
лог при попытке зайти от com
---------- Добавлено 10.08.2017 в 20:25 ----------
права на папку /var/www/com
пробовал
root root
com root
www-data www-data
не помогает
Вот как у меня.
/etc/ssh/sshd_config
делаем права на корневую диру вэб, в которую хотим пустить в изолятор.
должен быть владелец рут, но не рекурсивно делайте такие права, только на самую верхнею диру.
то-есть пользователю нужному назначаем домашнию директорию www, а в sshd_config прописываем верхнею корневую диру /usr/local/www/bas.ru
У меня система FreeBSD, не должно отличатся, притом debian миролюбивая система к пользователю, не должно возникнуть затыков.
Первом делом очистить конфиги от предыдущих правок, возможно в каком то параметре установленном.
Ну и конечно смотреть логи что пишут при ошибке.
после уже конектимся любым sftp клиентом.
$ sftp bas@8.5.3.9
Надеюсь понятно объяснил.
Если убрать строку
то ssh появляется у рута но нет у com
Хмм, если сам sftp не нужен, а нужна консоль обычная ssh с ограничениями, то убрать Subsystem sftp internal-sftp, сделать по умолчанию.
А что за система?
По хорошему логи ssh нужно смотреть, что там происходит.
ну выше ведь добавил
Это разные файлы если присмотреться.
такое впечатление что файл ssh_config не обрабатывается.
/etc/ssh/sshd_config
com:x:1000:1000::/var/www/com:/bin/sh
# This is the ssh client system-wide configuration file. See
# ssh_config(5) for more information. This file provides defaults for
# users, and the values can be changed in per-user configuration files
# or on the command line.
# Configuration data is parsed as follows:
# 1. command line options
# 2. user-specific file
# 3. system-wide file
# Any configuration value is only changed the first time it is set.
# Thus, host-specific definitions should be at the beginning of the
# configuration file, and defaults at the end.
# Site-wide defaults for some commonly used options. For a comprehensive
# list of available options, their meanings and defaults, please see the
# ssh_config(5) man page.
Host *
# ForwardAgent no
# ForwardX11 no
# ForwardX11Trusted yes
# RhostsRSAAuthentication no
# RSAAuthentication yes
# PasswordAuthentication yes
# HostbasedAuthentication no
# GSSAPIAuthentication no
# GSSAPIDelegateCredentials no
# GSSAPIKeyExchange no
# GSSAPITrustDNS no
# BatchMode no
# CheckHostIP yes
# AddressFamily any
# ConnectTimeout 0
# StrictHostKeyChecking ask
# IdentityFile ~/.ssh/identity
# IdentityFile ~/.ssh/id_rsa
# IdentityFile ~/.ssh/id_dsa
# Port 22
# Protocol 2,1
# Cipher 3des
# Ciphers aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,aes128-cbc,3des-cbc
# MACs hmac-md5,hmac-sha1,umac-64@openssh.com,hmac-ripemd160
# EscapeChar ~
# Tunnel no
# TunnelDevice any:any
# PermitLocalCommand no
# VisualHostKey no
# ProxyCommand ssh -q -W %h:%p gateway.example.com
# RekeyLimit 1G 1h
SendEnv LANG LC_*
HashKnownHosts no
GSSAPIAuthentication yes
GSSAPIDelegateCredentials no
Subsystem sftp internal-sftp
Match User com
X11Forwarding no
AllowTcpForwarding no
AllowAgentForwarding no
ermitTunnel no
ForceCommand internal-sftp
ChrootDirectory /var/www/com
---------- Добавлено 10.08.2017 в 13:46 ----------
такое впечатление что файл ssh_config не обрабатывается.
прописал туда
в надежде открубить доступ юзера по ssh (юзер в группу добавил и проверил что он там), перезагрузил ssh - но доступ остался.
Укажи настройки в этом файле /etc/ssh/sshd_config
FTP сервер сервера нет, я подключаюсь через sftp Файлзилы. И хочу дать доступ так де по sftp на нужный каталог для программиста
---------- Добавлено 10.08.2017 в 11:54 ----------
Добавил в ssh_config
перезапустил ssh - не помогло. Юзер com по прежнему может подниматься выше домашенй категории
Должно работать.
Покажи конфиг sshd_config
И покажи запись пользователя в файле /etc/passwd
Есть впс с Дебианом 8 без панели. Сделал клон сайта и хочу дать ФТП доступ разработчику. Дайте плиз ссылочку как проще всего добавить нового юзера, который бы имел доступ для правки только в указанную директорию?
Я так для ограничивал sftp посещаемость для прогеров.
Расскажите, как ограничить минимальный размер запроса? Хотя бы. Я уже не говорю о том, что тяжесть от объема данных может не зависеть.
Это как?
Почему? Потому, что время поиска в кэше становится намного больше, чем при других условиях.
ну так я не говорю засрать кэш мелкими запросами, в кэш мускула можно помещать минимум и максимум запросы.
Если есть тяжелые запросы, то их лучше в память убрать чем они на диске будут!