Limitando o acesso sFTP

Question

Um Raspberry pi é configurado com o OSMC por trás de um firewall. O roteador encaminha o tráfego da porta WAN 21 para a porta 22 do rPi. Um usuário convidado foi configurado. Suponha que o nome de usuário seja convidado e, embora não seja hostil, mas "inquisitivo"

O usuário será instruído a usar o WinSCP para obter / colocar arquivos no diretório pessoal. Existe um comando simples para impedir que o convidado:

1. de roaming através dos diretórios do pi de framboesa?
2. emitindo comandos a partir da linha de comando, além daqueles necessários para o sFTP ler & escrever para / home / guest?

O objetivo é permitir que o convidado envie arquivos sFTP (leitura / gravação) em / home / guest e não mais. Talvez a pergunta certa a fazer: qual é o conjunto mínimo de comandos necessários para atingir o objetivo? e como bloquear comandos convidados para que apenas esses comandos sejam ativados.

Qualquer tentativa de aguçar a questão é bem-vinda. Obrigado