没有任何文件系统权限的 Linux 用户

Question

我需要为 SSH 代理的唯一目的创建一个 linux 用户。除其他外，用户不应该能够四处探索文件系统，甚至无法真正访问 shell。

显然，我可以chmod删除所有内容的所有读/写/执行权限，但这显然是一个非常糟糕且可能耗时的选择。

使用此用户的唯一连接应该是通过 ssh -D account@example.com

我正在运行 Debian 7。

Answer 1

如果用户要登录，他们将必须能够读取文件系统的某些位。如果不访问某些文件，您根本无法启动交互式 shell。

如果他们需要做的只是进行足够远的身份验证以建立隧道其他连接（包括，在这种情况下，利用 ssh SOCKS 代理工具），最好拒绝用户交互式 shell（例如，usermod -s /sbin/nologin account），然后让他们进行身份验证无交互（ssh -N -D 23456 example@example.com）。

不要忘记这ssh -D 需要一个端口号来绑定本地 SOCKS 代理，因此您问题中的示例在语法上是无效的。