○ OpenSSH (chroot+sftponly) の設定

・chroot環境でsftp(openssh)接続を行います
・openssh-7.2p2の"ChrootDirectory"を使います
・専用の秘密鍵・公開鍵を使用します
・間違ってもrootの秘密鍵を渡さないこと

・公開サーバで使う場合は、ローカル環境で十分実証して下さい

・ソースの取得、削除は省略します
・エディタ、ファイラーの操作は省略します
・Enterキーを省略します

・ログイン端末で "#" はroot、"$" は一般ユーザのプロンプトの記号です
・設定ファイルで "#" で始まる行はコメントとして解釈されます

○参照ファイル

パッケージの追加
最初の設定 (Xen)
OpenSSHのインストール
OpenSSH (chroot+sshlogin) の設定

○仮設定

:サーバ jupiter.528p.com
:OS CentOS 6.8
:openssh 7.2p2
:selinx disabled or permissive
:作業 /root 一部 /home/umi
:言語 LANG=en_US.UTF-8
:ユーザー rootで実行 一部 umiで実行


:クライアント  mars.528p.com
:OS CentOS 7.2
:openssh 6.6.1p1
:作業 /home/umi
:言語 LANG=en_US.UTF-8
:ユーザー umiで実行

・メンテナンスの場合は一般ユーザから行います



○chrootの設定

○sftp専用ユーザ・グループの設定

・仮定 一般ユーザ (umi) とします
・useraddに"-M"オプションをつけるとホームディレクトリを作成しません
・パスワードを設定しないと公開鍵認証でもエラーになります
・groupIDは/etc/groupファイルを参照して未使用の番号を使用します

[root@jupiter:~]
# useradd -M -s /sbin/nologin umi
# passwd umi
New UNIX password:← パスワードを入力
Retype new UNIX password:← 再入力
# groupadd -g 301 sftponly
# gpasswd -a umi sftponly

○書き込み可能なディレクトリの作成

・スクリプトを作成して管理者権限で実行します
・chrootディレクトリの所有者はrootでなければなりません
・root権限でユーザのchrootディレクトリを作ります
・同時にユーザの書き込み可能なディレクトリ (例 data) をつくります
・ユーザのhomeディレクトリを作り、上位のディレクトリにリンクをはります
・パーミッションに注意、chrootされないwheelグループのアクセスが可能です

:create_chroot_dir5 (root root 700)

#!/bin/bash

#
# Usage: ./create_chroot_dir5 username
#

# Here specify the dir's
SUBDIR="data public_html"

# Sanity check
if [ "$1" = "" ] ; then
    echo " Usage: ./create_chroot_dir5 username"
    exit
fi

# Obtain username and HomeDir
CHROOT_USER=$1
CHROOT_DIR=`grep /etc/passwd -e "^$CHROOT_USER" | cut -d':' -f 6`
if [ ! -d $CHROOT_DIR ] ; then
    mkdir $CHROOT_DIR
else
    chmod 755 $CHROOT_DIR    
    chown root:root $CHROOT_DIR
fi

cd $CHROOT_DIR

# Create writeable Directories only for you
# For "Could not chdir to home" warning
HOME_DIR=`echo $CHROOT_DIR |sed 's/^\///'`
mkdir -p $HOME_DIR

# For ftp access or http access
for sub in $SUBDIR; do
    if [ ! -d $sub ] ; then
        mkdir $sub
        chown $CHROOT_USER:$CHROOT_USER $sub
        chmod 711 $sub
    fi
    # For sftp access
    cd $HOME_DIR
    ln -s ../../$sub
    cd $CHROOT_DIR
done

# If necessary sftp access Maildir
if [ -d $CHROOT_DIR/Maildir ] ; then
    cd $HOME_DIR
    ln -s ../../Maildir
fi

create_chroot_dir5

○スクリプトの実行

・rootディレクトリにコピーして実行します

[root@jupiter:~]
# chmod -c 700 create_chroot_dir5
# ./create_chroot_dir5 umi

○ファイル及びディレクトリのユーザ・グループ・パーミッションの設定

home/umi/ 755 root:root

.ssh/ 700 umi:umi


authorized_keys 600 umi:umi

home/ 755 root:root


umi/ 755 root:root



~data 777 root:root  symbolic link



~public_html 777 root:root  symbolic link

data/ 711 umi:umi


openssh-7.2p2.tar.gz 644 umi:umi

public_html/ 711 umi:umi


test.html 644 umi:umi

○configファイルの修正

・デフォルトから変更した部分を記述しています
・"Match"は最終行に追加します、sftp接続のみの設定です
・chrootユーザのsftp接続には、"internal-sftp"を使います
紫色部分 パスワード認証を許可する場合 (rootは公開鍵認証)

:/etc/ssh/sshd_config

Port 22
AddressFamily inet
ListenAddress 0.0.0.0
AllowGroups wheel sftponly

SyslogFacility AUTHPRIV
LogLevel VERBOSE
PermitRootLogin without-password
RSAAuthentication no
PubkeyAuthentication yes
IgnoreUserKnownHosts yes
PasswordAuthentication no
ChallengeResponseAuthentication no
X11UseLocalhost no
PrintMotd no
PermitUserRC no

Subsystem	sftp	internal-sftp

Match Group sftponly
    PasswordAuthentication yes
    AllowAgentForwarding no
    AllowTcpForwarding no
    ChrootDirectory /home/%u

○sshdの再起動

[root@jupiter:~]
# service sshd restart



○公開鍵の作成とサーバへのコピー

○ローカルホスト上でECDSA認証鍵を作ります

・ユーザのディレクトリに.sshディレクトリが作られます
・id_ecdsa (ECDSA秘密鍵) id_ecdsa.pub (ECDSA公開鍵) が収納されます

[umi@mars ~]
$ ssh-keygen -t ecdsa
Generating public/private ecdsa key pair.
Enter file in which to save the key (/home/umi/.ssh/id_ecdsa):← Enterキー
Created directory '/home/umi/.ssh'.
Enter passphrase (empty for no passphrase):← パスフレーズを入力
Enter same passphrase again:← 再入力
Your identification has been saved in /home/umi/.ssh/id_ecdsa.
Your public key has been saved in /home/umi/.ssh/id_ecdsa.pub.
The key fingerprint is:
22:e5:4c:4a:e6:80:7a:8e:93:7e:80:16:14:f3:64:49 umi@mars.528p.com
The key's randomart image is:
+--[ECDSA  256]---+
| ooE.            |
| o=.             |
|o ..o o          |
|.. = *           |
|o o + + S        |
|.B   . .         |
|= o              |
|.. .             |
| ..              |
+-----------------+

○サーバ上でid_ecdsa.pub (ECDSA公開鍵) を登録します

・ローカルホストからサーバにid_ecdsa.pub (ECDSA公開鍵)を転送しておきます
・専用ディレクトリをつくり、公開鍵を専用ファイルに書き加えます
・ディレクトリとファイルのパーミッション・オーナーを変更します

# cd /home/umi
[root@jupiter:/home/umi]
# mkdir .ssh
# cat id_ecdsa >> .ssh/authorized_keys
# chmod 700 .ssh
# chmod 600 .ssh/authorized_keys
# chown -R umi:umi .ssh

○selinuxヘの対応 (selinuxが有効の場合)

:新規ファイルのselinuxラベルを修正

# cd ~
[root@jupiter:~]
# restorecon -Rv /etc
# restorecon -RFv /home/umi

○sshによる接続

[umi@mars:~]
$ ssh umi@jupiter.528p.com
/sbin/nologin: No such file or directory
Connection to jupiter.528p.com closed.

○sftpによる接続

・カレントディレクトリは/home/umi/home/umiになります (userがumiの場合)

[umi@mars:~]
$ sftp umi@jupiter.528p.com
Connecting to jupiter.528p.com...
sftp> pwd
Remote working directory: /home/umi
sftp> ls
data	public_html
sftp> cd ../../
sftp> pwd
Remote working directory: /
sftp> ls
data	home	public_html
sftp> cd /home/sola
Couldn't stat remote file: No such file or directory
sftp> cd /home/umi/data
sftp> pwd
Remote working directory: /data
sftp> put openssh-7.2p2.tar.gz
Uploading openssh-7.2p2.tar.gz to /data/openssh-7.2p1.tar.gz
openssh-7.2p2.tar.gz           100% 1465KB   1.4MB/s   00:00 
sftp> ls
openssh-7.2p2.tar.gz
sftp> exit
$

・wheelグループのユーザでsftp接続

[sola@mars:~]
$ sftp sola@jupiter.528p.com
Connecting to jupiter.528p.com...
sftp> cd /home/umi/data
sftp> pwd
Remote working directory: /home/umi/data
sftp> ls
remote readdir("/home/staff/data"): Permission denied
sftp> exit
$

○ Copyright(c) 528p.com All Rights Reserved.