[[185699]]

將 SSH 用戶(hù)會(huì)話限制訪問(wèn)到特定的目錄內(nèi)，特別是在 web 服務(wù)器上，這樣做有多個(gè)原因，但最顯而易見(jiàn)的是為了系統(tǒng)安全。為了鎖定 SSH 用戶(hù)在某個(gè)目錄，我們可以使用 chroot 機(jī)制。

在諸如 Linux 之類(lèi)的類(lèi) Unix 系統(tǒng)中更改 root(chroot)是將特定用戶(hù)操作與其他 Linux 系統(tǒng)分離的一種手段;使用稱(chēng)為 chrooted 監(jiān)獄 的新根目錄更改當(dāng)前運(yùn)行的用戶(hù)進(jìn)程及其子進(jìn)程的明顯根目錄。

在本教程中，我們將向你展示如何限制 SSH 用戶(hù)訪問(wèn) Linux 中指定的目錄。注意，我們將以 root 用戶(hù)身份運(yùn)行所有命令，如果你以普通用戶(hù)身份登錄服務(wù)器，請(qǐng)使用 sudo 命令。

步驟 1：創(chuàng)建 SSH chroot 監(jiān)獄

1、 使用 mkdir 命令開(kāi)始創(chuàng)建 chroot 監(jiān)獄： 

# mkdir -p /home/test 

2、 接下來(lái)，根據(jù) sshd_config 手冊(cè)找到所需的文件，ChrootDirectory 選項(xiàng)指定在身份驗(yàn)證后要 chroot 到的目錄的路徑名。該目錄必須包含支持用戶(hù)會(huì)話所必需的文件和目錄。

對(duì)于交互式會(huì)話，這需要至少一個(gè) shell，通常為 sh 和基本的 /dev 節(jié)點(diǎn)，例如 null、zero、stdin、stdout、stderr 和 tty 設(shè)備：

# ls -l /dev/{null,zero,stdin,stdout,stderr,random,tty}  

列出所需文件

3、 現(xiàn)在，使用 mknod 命令創(chuàng)建 /dev 下的文件。在下面的命令中，-m 標(biāo)志用來(lái)指定文件權(quán)限位，c 意思是字符文件，兩個(gè)數(shù)字分別是文件指向的主要號(hào)和次要號(hào)。

# mkdir -p /home/test/dev/  
# cd /home/test/dev/ 
# mknod -m 666 null c 1 3 
# mknod -m 666 tty c 5 0 
# mknod -m 666 zero c 1 5 
# mknod -m 666 random c 1 8  

創(chuàng)建 /dev 和所需文件

4、 在此之后，在 chroot 監(jiān)獄中設(shè)置合適的權(quán)限。注意 chroot 監(jiān)獄和它的子目錄以及子文件必須被 root 用戶(hù)所有，并且對(duì)普通用戶(hù)或用戶(hù)組不可寫(xiě)：

# chown root:root /home/test 
# chmod 0755 /home/test# ls -ld /home/test  

設(shè)置目錄權(quán)限

步驟 2：為 SSH chroot 監(jiān)獄設(shè)置交互式 shell

5、 首先，創(chuàng)建 bin 目錄并復(fù)制 /bin/bash 到 bin 中：

# mkdir -p /home/test/bin 
# cp -v /bin/bash /home/test/bin/  

復(fù)制文件到 bin 目錄中

6、 現(xiàn)在，識(shí)別 bash 所需的共享庫(kù)，如下所示復(fù)制它們到 lib64 中：

# ldd /bin/bash# mkdir -p /home/test/lib64 
# cp -v /lib64/{libtinfo.so.5,libdl.so.2,libc.so.6,ld-linux-x86-64.so.2} /home/test/lib64/  

復(fù)制共享庫(kù)文件

步驟 3：創(chuàng)建并配置 SSH 用戶(hù)

7、 現(xiàn)在，使用 useradd 命令創(chuàng)建 SSH 用戶(hù)，并設(shè)置安全密碼：

# useradd tecmint 
# passwd tecmint 

8、 創(chuàng)建 chroot 監(jiān)獄通用配置目錄 /home/test/etc 并復(fù)制已更新的賬號(hào)文件(/etc/passwd 和 /etc/group)到這個(gè)目錄中：

# mkdir /home/test/etc 
# cp -vf /etc/{passwd,group} /home/test/etc/  

復(fù)制密碼文件

注意：每次向系統(tǒng)添加更多 SSH 用戶(hù)時(shí)，都需要將更新的帳戶(hù)文件復(fù)制到 /home/test/etc 目錄中。

步驟 4：配置 SSH 來(lái)使用 chroot 監(jiān)獄

9、 現(xiàn)在打開(kāi) sshd_config 文件。

# vi /etc/ssh/sshd_config 

在此文件中添加或修改下面這些行。

# 定義要使用 chroot 監(jiān)獄的用戶(hù)Match User tecmint 
# 指定 chroot 監(jiān)獄ChrootDirectory /home/test  

配置 SSH chroot 監(jiān)獄

保存文件并退出，重啟 sshd 服務(wù)：

# systemctl restart sshd 
或者 
# service sshd restart 

步驟 5：測(cè)試 SSH 的 chroot 監(jiān)獄

10、 這次，測(cè)試 chroot 監(jiān)獄的設(shè)置是否如希望的那樣成功了：

# ssh tecmint@192.168.0.10-bash-4.1 
$ ls-bash-4.1 
$ date-bash-4.1$ uname  

測(cè)試 SSH 用戶(hù) chroot 監(jiān)獄

從上面的截圖上來(lái)看，我們可以看到 SSH 用戶(hù)被鎖定在了 chroot 監(jiān)獄中，并且不能使用任何外部命令如(ls、date、uname 等等)。

用戶(hù)只可以執(zhí)行 bash 以及它內(nèi)置的命令(比如：pwd、history、echo 等等)：

# ssh tecmint@192.168.0.10-bash-4.1$ pwd-bash-4.1 
$ echo "Tecmint - Fastest Growing Linux Site"-bash-4.1$ history  

SSH 內(nèi)置命令

步驟 6： 創(chuàng)建用戶(hù)的主目錄并添加 Linux 命令

11、 從前面的步驟中，我們可以看到用戶(hù)被鎖定在了 root 目錄，我們可以為 SSH 用戶(hù)創(chuàng)建一個(gè)主目錄(以及為所有將來(lái)的用戶(hù)這么做)：

# mkdir -p /home/test/home/tecmint 
# chown -R tecmint:tecmint /home/test/home/tecmint 
# chmod -R 0700 /home/test/home/tecmint  

創(chuàng)建 SSH 用戶(hù)主目錄

12、 接下來(lái)，在 bin 目錄中安裝幾個(gè)用戶(hù)命令，如 ls、date、mkdir：

# cp -v /bin/ls /home/test/bin/ 
# cp -v /bin/date /home/test/bin/ 
# cp -v /bin/mkdir /home/test/bin/  

向 SSH 用戶(hù)添加命令

13、 接下來(lái)，檢查上面命令的共享庫(kù)并將它們移到 chroot 監(jiān)獄的庫(kù)目錄中：

# ldd /bin/ls 
# cp -v /lib64/{libselinux.so.1,libcap.so.2,libacl.so.1,libc.so.6,libpcre.so.1,libdl.so.2,ld-linux-x86-64.so.2,libattr.so.1,libpthread.so.0} /home/test/lib64/  

復(fù)制共享庫(kù)

步驟 7：測(cè)試 sftp 的 用 chroot 監(jiān)獄

14、 ***用 sftp 做一個(gè)測(cè)試;測(cè)試你先前安裝的命令是否可用。

在 /etc/ssh/sshd_config 中添加下面的行：

# 啟用 sftp 的 chroot 監(jiān)獄 ForceCommand internal-sftp 

保存并退出文件。接下來(lái)重啟 sshd 服務(wù)：

# systemctl restart sshd或者# service sshd restart 

15、 現(xiàn)在使用 ssh 測(cè)試，你會(huì)得到下面的錯(cuò)誤：

# ssh tecmint@192.168.0.10  

測(cè)試 SSH Chroot 監(jiān)獄

試下使用 sftp：

# sftp tecmint@192.168.0.10  

測(cè)試 sFTP SSH 用戶(hù)

建議閱讀： 使用 chroot 監(jiān)獄將 sftp 用戶(hù)限制在主目錄中。

就是這樣了!在文本中，我們向你展示了如何在 Linux 中限制 ssh 用戶(hù)到指定的目錄中( chroot 監(jiān)獄)。請(qǐng)?jiān)谠u(píng)論欄中給我們提供你的想法。

作者簡(jiǎn)介：

Aaron Kili 是一個(gè) Linux 及 F.O.S.S 熱衷者，即將成為 Linux 系統(tǒng)管理員、web 開(kāi)發(fā)者，目前是 TecMint 的內(nèi)容創(chuàng)作者，他喜歡用電腦工作，并堅(jiān)信分享知識(shí)。