Chroot SFTP - 可能允许用户写入当前（chroot）目录

Question

我目前有一个 WORKING SFTP 登录，使用私钥进行登录，并且用户被 chroot 到他们的主目录。

目标：保留用户 chroot 但允许 WRITE 访问相对 chroot 目录，而无需在任何地方指定任何路径或 cd。

换句话说，当 sftp 用户登录时，我不希望他们必须 cd 到另一个路径才能上传文件。

由于 chroot 目录需要完全的 root 所有权（由于 chroot 设计），我不确定这是否可能。

在 /etc/passwd 中：

sftpuser:x:1006:1006:,,,:/home/sftpuser:/bin/false

用户登录公钥位于：

/home/sftpuser/.ssh/authorized_keys

sshd_confg 中的 Chroot 规则：

Match User sftpuser
    ChrootDirectory /home/sftpuser
    ForceCommand internal-sftp
    AllowTCPForwarding no
    X11Forwarding no

主目录权限：

# ls -l /home/ |grep sftpuser
drwxr-xr-x 5 root      root     4096 May  4 11:24 sftpuser

# ls -l /home/sftpuser/
total 4
drwxrw-r-x 3 sftpuser sftpuser 4096 May  4 11:23 sftp_share

当前工作流程示例：

Connected to sftp.example.com.
sftp> ls
sftp_share

sftp> put testfile.txt
Uploading testfile.txt to /testfile.txt
remote open("/testfile.txt"): Permission denied

sftp> cd sftp_share

sftp> put testfile.txt
Uploading testfile.txt to /sftp_share/testfile.txt
testfile.txt

所需的工作流程：

Connected to sftp.example.com.
sftp> put testfile.txt
Uploading testfile.txt to /testfile.txt
testfile.txt

有没有办法允许上传（放置）到默认目录，而不必先 chdir ？

我确实可以灵活地移动这些目录。例如，sftp chroot 目录不必在用户主目录中，我什至可以更改用户主目录（但用户必须仍然能够使用authorized_keys 登录）。

请注意：我了解许多 SFTP 客户端，命令行 SFTP 客户端允许在登录时定义相对路径。这超出了这个问题的范围，我希望这个配置在服务器端完成，客户端只需要登录。

Answer 1

嘿@emmdee 我花了很长时间才意识到有一个简单而好的技巧。你只需要让 root 成为你想要 sFTP 的父文件夹的所有者，然后使用 force 命令告诉特定用户在 CHROOT 目录中加载特定的 DIR。

在你的情况下，如果你想/home/sftpuser成为可写目录，你必须让root成为目录的所有者，/home然后继续并强制命令他/sftpuser作为该用户或组的登陆目录。

你/etc/ssh/sshd_conf会看起来像这样：

Match User sftpuser
    ChrootDirectory /home
    ForceCommand internal-sftp -d /sftpuser
    AllowTCPForwarding no
    X11Forwarding no

完成后，您必须如前所述授予正确的权限，root 应拥有 parent(chroot) 目录，/home而用户应拥有 final(-d) 目录/sftpuser。如果没有，我将假设您有一个名为sftpusers的 sFTP 用户组；只需从下一个命令中省略该组或将其替换为用户（第一个是root，第二个是sftpusers）。由于我们在命令行中使用 -R 进行继承，因此您必须在用户所有权之前从根所有权开始，如下所示：

sudo chown -R root:sftpusers /home

然后对于用户，您可以运行：

sudo chown -R sftpuser:sftpusers /home/sftpuser

我不确定是否需要这样做，但您始终可以重新启动 sshd 服务以确保再次重新加载所有设置：

sudo systemctl restart sshd.service

希望这应该像魅力一样有效，我遇到了类似的问题，并且解决方案大部分时间都在看着我。

干杯!

Answer 2

我知道已经过去几年了，但这篇文章让我完成了 98% 的任务。经过很长时间的寻找。

为了使我可以让用户 chroot 并自动将他们进入具有写入权限的目录，我使用了 @African Idiot 建议的方法，并且还使原始 chroot 目录由 root 用户和 FTP 组拥有。

但对我来说，将它们保留在该文件夹中并且无法..并尝试浏览其他用户的文件夹的关键是创建该文件夹，chmod 710 (rwx--x---)以便 ftp 组执行内部-sftp -d /%u （即 cd 进入 users 子目录），现在如果我尝试cd ..进入上层目录，因为除了 root 之外没有任何人可以读取，所以它会失败。

drwx--x---  6 root        sftpusers   uarch  6 Feb 19 15:34 ./
drwxr-xr-x  5 root        root        uarch  5 Feb  4 09:13 ../
drwxrwx---  3 anotheruser anotheruser uarch  3 Feb 24 15:34 anotheruser/
drwxrwx---  3 ftpuser     ftpuser     uarch 12 Feb 25 10:55 ftpuser/

希望这对其他人也有帮助。