ssh chroot

rakso

Well-Known Member
hallo! ich möchte meinem webentwickler ssh-zugang geben. dieser sollte aber chroot`ed sein.

wie macht man das am besten? für scp/sftp findet man ja spezielle shells.. aber es muss consolenzugang sein.


Grüße
 
Mach mal in der /etc/ssh/sshd.conf folgenden Eintrag:

Match User narf
ChrootDirectory /usr/home/narf
 
danke!
nachdem ich bin, lib, teile aus etc reinkopiert habe, und auf dem host das devfs gemountet (
mount -t devfs none /data/jails/web1/www/xyz.de/dev/) habe, kommt immernoch die fehlermeldung


csh: Cannot open /etc/termcap.
csh: using dumb terminal settings.


termcap ist da und lesbar.. denke das hat noch was mit /dev/ zu tun?

Code:
ls -l /dev
total 2
crw-r--r--  1 0   wheel       0,  29 Mar  6  2011 acpi
crw-r-----  1 0   operator    0,  66 Mar  6  2011 ad4
crw-r-----  1 0   operator    0,  68 Mar  6  2011 ad6
crw-------  1 0   operator    0,  28 Mar  6  2011 ata
crw-------  1 0   wheel       0,  38 Mar  6  2011 atkbd0
crw-------  1 0   kmem        0,   8 Mar  6  2011 audit
crw-------  1 0   wheel       0,  78 Mar  6  2011 bpf0
crw-------  1 0   wheel       0, 147 Mar  6  2011 bpf1
crw-------  1 0   wheel       0, 157 Mar  6  2011 bpf2
...
 
Wenn du die termcap von /etc kopiert hast, dann hast du bloß einen Symlink kopiert. Der funktioniert in deinem chroot natürlich nicht.
 
Könnte man das nicht einfach per Script machen, ähnlich die Chroot von Bind und anderen DNS-Zeugs. So die Form, Uer loggt sich ein, script kopiert alllen benötigten Krempel ins chroot, User wurstelt rum...,fertig und loggt sich aus und script löscht alles aus dem chroot raus. Nur so eine Idee. Bei den DNS-Zeugs funzt diese Version auf jeden Fall. Naja wenn mal jeman Lust hat kann ja mal ausprobieren.

Gruß
 
Blöd wenn der Nutzer irgendwelche Prozesse zurück lässt. Ich würde eine Standardumgebung bauen und die mit mount_nullfs ro mounten. Mit mount_unionfs wird dann das beschreibbare, nutzerspezifische drübergemountet.

Sehr sparsam. Man kann zentral alle Benutzer umkonfigurieren und Benutzer können eigene Änderungen vornehmen, die erhalten bleiben.
 
/me ist zu faul sich in ZFS einzuarbeiten. Vielleicht, wenn ich mal eine richtige Storage Lösung machen müsste ...
 
Zurück
Oben