Дать доступ юзеру к консоли

сообщение об ошибке - это следствие.

а причины все в логах обычно видны

ChrootDirectory /var/www/com

это убираем

и в passwd возвращаем стандартный путь /bin/bash

вы правда думаете что chroot кого-то от чего-то заблокировал? :)

он из под php на тестовом домене наверняка сможет пошариться по всему серверу, куда только есть доступ у пользователя, от чьего имени оно запущено.

именно сломать он врядли что-то сможет и с правами по-умолчанию на все.

если есть какие-то секреты - правьте права доступа на них вручную.

Ну мы успешно проходим пентесты и аудит PCIDSS с chroot пользователей на сервере входа, а что не так?

---------- Добавлено 20.02.2019 в 18:37 ----------

Понятное дело, что тестовый домен должен обслуживаться от имени другого пользователя, например от него же, а не общий. Для этого в php-fpm тоже есть настройка пулов.

ну речь тут про chroot в ssh. и все :] что там как еще ограничено мы не знаем.

т.е. по sftp-то он его якобы ограничил только указанной папкой.

но дальше закидываем какой-нибудь php-shell и уже из браузера безо всяких chroot лазим где ходим. верней куда разрешено, но уже без chroot.

а не заходит по ssh в данном случае именно из-за chroot. я не телепат конечно, но на 99% уверен.

по-этому и советую убрать эту строчку вообще. смысла от нее можно сказать ноль.

плюс фрилансер же наверняка не просто так ssh хочет.

потом планирует еще что-то позапускать из системного.

следом окажется еще куча всего не работает.

Если ChrootDirectory /var/www/com уберу разве по sftp он не сможет везде бродить?

Dram, дайте ему лучше отдельную виртуалку, пусть там развлекается. Все равно настроить безопасно вы не сможете, либо это будет долго. Получить бесплатный сервер можно у amazon, yandex, google, microsoft. Вообще держать тест и продакшн на одной машине так себе идея.

сможет! я же про это и пытаюсь донести.

он и без вашего chroot сможет везде побродить.

оно лишь создает в данном случае проблему с ssh доступом.

когда нужен был только sftp, то все работало конечно.

но по ssh оно хочет много куда доступ за пределы chroot - в этом и проблема.

нет, можно конечно все что нужно скопировать ему в chroot, но я ж говорю, следом он захочет еще что-то и так каждый раз будете ему все копировать? смысл?

ничего он не поломает если и будет иметь доступ выше.

а если секреты есть - контролируйте кто владелец, какие права даны.

Я в похожей, но не такой же, ситуации (нужен был автоматический SSH туннель для приложений, находящихся на клиентских машинах) соорудил виртуалку на хосте и сделал ей свой SSH сервер на другом порту.

Друг другу не мешают и безопасно.