Вся эта боль связана с несколькими проблемами безопасности, поскольку описан здесь . В основном каталог chroot должен принадлежать root и не может быть любым доступом к группе. Прекрасный. Поэтому вам необходимо повернуть ваш chroot в ячейку для хранения и в , что вы можете иметь свой редактируемый контент.

sudo chown root /home/bob
sudo chmod go-w /home/bob
sudo mkdir /home/bob/writable
sudo chown bob:sftponly /home/bob/writable
sudo chmod ug+rwX /home/bob/writable

И bam, вы можете войти и написать в /writable .

Чтобы chroot каталог SFTP, вы должны

1. Создайте пользователя и запустите root, чтобы быть его владельцем

   cd /home
   mkdir john
   useradd -d /home/john -M -N -g users john
   sudo chown root:root /home/john
   sudo chmod 755 /home/john
   

2. Измените расположение подсистемы на / etc / ssh / sshd_config:

   #Subsystem sftp /usr/lib/openssh/sftp-server
   Subsystem sftp internal-sftp
   

   и создайте пользовательский раздел в конце файла (ssh может отменить респаунирование, если оно помещено после строки подсистемы):

   Match User john
       ChrootDirectory /home/john
       ForceCommand internal-sftp
       AllowTCPForwarding no
       X11Forwarding no
   

Я потратил целый день, пытаясь получить долю сети на моей малине. Я хотел заблокировать пользователя, чтобы он не мог перемещаться по всей файловой системе, без доступа к ssh для входа, и я хотел иметь доступ на запись к сетевому ресурсу.

И вот как я заработал:

Сначала я создал пользователя:

sudo useradd netdrive

Затем отредактировано /etc/passwd и убедитесь, что у пользователя /bin/false для пользователя, поэтому строка была:

netdrive:x:1001:1004:Net Drive User,,,:/home/netdrive:/bin/false

Я редактировал /etc/ssh/sshd_config , чтобы включить:

Match User netdrive
  ChrootDirectory /home/netdrive
  ForceCommand internal-sftp
  AllowTcpForwarding no
  X11Forwarding no

Изменен владелец домашнего каталога и его разрешения:

sudo chown root:root /home/netdrive/
sudo chmod 755 /home/netdrive/

Хорошо, так что после всего этого мне удалось подключиться, используя sshfs , но в режиме только для чтения. Что мне нужно сделать, чтобы получить папку для записи:

sudo mkdir -p /home/netdrive/home/netdrive/
sudo chown netdrive:netdrive /home/netdrive/home/netdrive/
sudo chmod 755 /home/netdrive/home/netdrive/

Так оно и было, оно работало без каких-либо дальнейших изменений. Обратите внимание, что у меня есть только доступные для записи разрешения user , а не group , как и многие другие решения в Интернете. Я смог создавать / удалять / редактировать / переименовывать файлы / папки без проблем.

При доступе к использованию sshfs с пользователем netdrive из-за конфигурации chroot я бы только видел вещи, хранящиеся в каталоге /home/netdrive/ сервера, идеально. Повторная структура каталогов /home/netdrive/home/netdrive/ - это то, что заставило меня работать с чистым решением chroot ssh writeable .

Теперь я объясню ниже проблемы, которые у меня были:

Вероятно, вы не должны выполнять следующие абзацы :

Посмотрев на вышеупомянутые решения (и многие другие в сети, которые даже использовали acl (списки управления доступом)) Мне все еще не удалось заставить его работать, потому что я сделал следующее:

Для меня работала НЕ :

sudo mkdir /home/netdrive/writable/
sudo chown netdrive:netdrive /home/netdrive/writable/
sudo chmod 755 /home/netdrive/writable/

Так как пользователь netdrive все еще не мог писать в этом каталоге /home/netdrive/writable/ , несмотря на то, что он владел папкой и имел разрешения. Затем я сделал:     sudo chmod 775 / home / netdrive / записываемый / И теперь я могу создать каталог и удалить его, но я не смог его отредактировать, потому что он создавался без разрешений для групповой записи. Здесь, из того, что я видел в сети, люди используют acl , чтобы исправить это. Но я был недоволен тем, что мне пришлось установить acl , затем настроить точки монтирования и т. Д. Также я понятия не имею, почему мне понадобится разрешение group для записи в папку, принадлежащую тот же пользователь.

Похоже, что по какой-то причине создав /home/netdrive/home/netdrive и предоставив право собственности на последнюю папку netdrive , я смог заставить все работать, не входя в разрешения group .