세트 homedirs에 파일을 업로드 해야하는 사용자 배열이 있습니다. 나는 sftp가 충분하다고 생각하지만 쉘을 통해 로그인하기를 원하지 않습니다. 그래서 가능합니까? 내 플랫폼은 centos 7입니다. 사용자의 홈 디렉토리가 저장되어 / personal / $ user
이 설정으로 사용자를 만들었습니다
useradd -m -d /personal/user1 -s /sbin/nologin
사용자에게 암호를 지정한 다음 sftp를 사용하여 컴퓨터에 로그인하면 연결할 수 없습니다.
답변:
다음 /etc/ssh/sshd_config을 포함하도록 편집하십시오 .
Match User [SFTP user]
ForceCommand internal-sftp
다시 시작하십시오 sshd. 여러 사용자가있는 경우 다음과 같이 쉼표로 구분하여 일치하는 사용자 행에 모두 배치하십시오.
Match User User1,User2,User3
sftp쉘 액세스를 허용하지 않도록 구성 하는 핵심 은 ForceCommand 옵션을 통해 사용자를 제한하는 것입니다.
Match User [SFTP user] ForceCommand internal-sftpchroot를하지 않고 시도해보십시오 .
chroot사용자가 정의 된 "감옥"을 벗어나 이동할 수 없도록 할 수 있습니다.
SSH 액세스 관리를 위해 다음과 같은 설정이 마음에 듭니다.이 서버는 소규모 서버에서 사용자 그룹을 관리하기 위해 직장에서 사용합니다. 보안 및 관리 용이성은 우선 순위 목록에서 높습니다.
주요 기능은 Unix 그룹 멤버쉽을 통해 SSH 권한을 쉽게 관리하고 권한을 엄격하게 정의하며 기본적으로 안전합니다.
소프트웨어 설치 (선택적이지만 유용한) :
yum install members # or apt install members
그룹 추가 :
addgroup --system allowssh
addgroup --system sftponly
에서 /etc/ssh/sshd_config, 설정에 다음이 있는지 확인 No:
PermitRootLogin no
PubkeyAuthentication no
PasswordAuthentication no
그리고 끝에 /etc/ssh/sshd_config다음 두 스탠자를 추가하십시오.
Match Group allowssh
PubkeyAuthentication yes
Match Group sftponly
ChrootDirectory %h
X11Forwarding no
AllowTcpForwarding no
ForceCommand internal-sftp
(파일 편집 후 SSH를 다시 시작하는 것을 잊지 마십시오)
그래서이 모든 것이 무엇을 하는가?
allowssh그룹의 사용자에 대해서만 (토끼) 로그인을 허용합니다 .sftponly그룹의 사용자는 SSH를 통해 쉘을 얻을 수 없으며 SFTP 만 가능합니다.그런 다음 그룹 구성원을 관리하여 액세스 권한을 가진 사람을 관리하기 만하면됩니다 (이 변경 사항은 즉시 적용되며 SSH를 다시 시작할 필요가 없습니다).
# adduser marcelm allowssh
# members allowssh
marcelm
# deluser marcelm allowssh
# members allowssh
#
sftp 사용자는 sftponly(쉘을 얻지 못하도록) 그리고 allowssh(처음에 로그인을 허용 하기 위해) 둘 다의 구성원이어야 합니다.
이 구성 은 비밀번호 로그인을 허용하지 않습니다 . 모든 계정 은 공개 키 인증을 사용해야합니다. 이것은 아마도 SSH로 얻을 수있는 가장 큰 보안 승리 일 것이므로 지금 시작해야하더라도 노력할 가치가 있다고 주장합니다.
정말로 이것을 원하지 않으면 스탠자에 추가 PasswordAuthentication yes하십시오 Match Group allowssh. 이것은 allowssh사용자에게 pubkey와 password 인증을 허용합니다 .
이 구성은 모든 sftponly사용자를 홈 디렉토리로 제한합니다 . 원하지 않으면 ChrootDirectory %h지시문을 제거하십시오 .
당신이 경우 않는 작업에 chroot 환경을 원하는, 사용자의 홈 디렉토리 (그리고 위의 임의의 디렉토리)를 소유하는 것이 중요 root:root및 기타 / 그룹별로 없습니다 쓰기. 홈 디렉토리의 서브 디렉토리가 사용자 소유 및 / 또는 쓰기 가능하다는 것은 괜찮습니다.
예, 사용자의 홈 디렉토리는 루트 소유 이며 사용자가 쓸 수 없어야합니다 . 안타깝게도이 제한 에는 충분한 이유 가 있습니다 . 상황에 따라 ChrootDirectory /home좋은 대안이 될 수 있습니다.
SSH가 사용자의 쉘을 대체 하기 때문에이 솔루션 에는 sftponly사용자 의 쉘을 설정하는 /sbin/nologin것이 필요하거나 유해하지 않습니다 ForceCommand internal-sftp.
사용하여 /sbin/nologin도움이 될 수있는 것은 그들이 다른 방법 (물리적 콘솔, 삼바 등)하지만 통해 로그인 중지합니다.
이 설정은 rootSSH를 통한 직접 로그인을 허용하지 않습니다 . 이것은 추가 보안 계층을 형성합니다. 직접 루트 로그인 이 필요한 경우 PermitRootLogin지시문을 변경하십시오 . 로 설정하는 것이 좋습니다 forced-commands-only, prohibit-password그리고 (최후의 수단으로) yes.
보너스 포인트의 경우 누가 응원 할 수 su있는지 를 제한하십시오 . 라는 시스템 그룹을 추가 wheel하고, 가능 / 추가 auth required pam_wheel.so에서 /etc/pam.d/su.
chown root:root하고chmod og-w
기본 쉘을 / sbin / nologin으로 변경하십시오. 대부분의 Linux를 가정 할 때 :
# usermod -s /sbin/nologin username
Subsystem sftp internal-sftp) (아니면 ForceCommand internal-sftp). 일반이 있다면 Subsystem sftp /path/to/sftp-server, nologin심지어 SFTP를 방지 할 수 있습니다.
tftp를 사용할 수 있습니다. ssh 이상의 것은 인증 (key | pass)이 필요합니다.
tftp는 보안이 유지되지만 인증 없이는 무엇이든 액세스 할 수 있도록 결정을 다시 검토하는 것이 좋습니다.