propriedade incorreta ou modos para o componente de diretório chroot

Question

Eu criei o usuário MY_USER. Defina seu diretório home como / var / www / RESTRICTED_DIR, que é o caminho para o qual ele deve ser restrito. Então eu editei o sshd_config e configurei:

Match user MY_USER
  ChrootDirectory /var/www/RESTRICTED_DIR

Então eu reiniciei o ssh. Fiz MY_USER proprietário (e proprietário do grupo) de RESTRICTED_DIR, e chmodded para 755. Eu recebo

Accepted password for MY_USER
session opened for user MY_USER by (uid=0)
fatal: bad ownership or modes for chroot directory component "/var/www/RESTRICTED_DIR"
pam_unix(sshd:session): session closed for user MY_USER

Se eu removi as duas linhas do sshd_config, o usuário pode logar com sucesso. Claro que pode acessar todo o servidor embora. Qual é o problema? Eu até tentei chested RESTRICTED_DIR para root (como eu li em algum lugar que alguém resolveu esse mesmo problema fazendo isso). Sem sorte ..

    

Answer 1

Em a página man :

ChrootDirectory
Specifies the pathname of a directory to chroot(2) to after authentication. All components of the pathname must be root-owned directories that are not writable by any other user or group. After the chroot, sshd(8) changes the working directory to the user's home directory.

Meu palpite é que um ou mais dos diretórios no caminho não atendem a esses requisitos (minha suspeita é www de propriedade ou gravável pelo seu usuário da web, não raiz).
Volte e siga as instruções, garantindo que os requisitos acima em negrito itálico sejam atendidos.

    

Answer 2

O diretório ChrootDirectory deve ser de propriedade de root e ter o modo 755:

sudo chown root:root /var/www/RESTRICTED_DIR
sudo chmod 755 /var/www/RESTRICTED_DIR

Ok, agora todos os arquivos em /var/www/RESTRICTED_DIR devem pertencer a MY_USER , que deve pertencer ao grupo www-data , e tem o modo 775 para permitir permissões de grupo, assim:

sudo usermod -a -G www-data MY_USER
sudo chown MY_USER:www-data /var/www/RESTRICTED_DIR/*
sudo chmod 775 -R /var/www/RESTRICTED_DIR/*

NOTA: Lembre-se que uma boa prática permite o acesso apenas a uma pasta htdocs se você estiver configurando o apache.