Enjaular usuario en sftp – ssh (Centos 7 y Centos 6)

Vamos a ver el proceso que se necesita seguir para enjaular a un usuario dentro de su home, si se conecta vía sftp. (OJO que sólo funciona a partir de Centos 6. En la mitad del artículo pueden ver como implementarlo en Centos antiguos)

Primero crearemos el usuario

# adduser usuario

1	# adduser usuario

Editamos el /etc/passwd para no permitirle hacer login (se hace sustituyendo /bin/bash por /sbin/nologin)

usuario:x:7033:7033::/home/usuario:/bin/nologin

1	usuario:x:7033:7033::/home/usuario:/bin/nologin

Creamos grupo sftpusers

# groupadd sftpusers

1	# groupadd sftpusers

Añadimos el usuario al grupo recién creado

# usermod -a -G sftpusers usuario

1	# usermod -a -G sftpusers usuario

Editamos el fichero /etc/ssh/sshd_config (previa salvaguarda por si ocurre algún fallo), y añadimos la siguiente configuración:

Comentamos la línea Subsystem      sftp    /usr/libexec/openssh/sftp-server

#Subsystem sftp /usr/libexec/openssh/sftp-server #La he comentado yo: Subsystem sftp /usr/libexec/openssh/sftp-server Subsystem sftp internal-sftp Match Group sftpusers ChrootDirectory %h ForceCommand internal-sftp AllowTcpForwarding no

1 2 3 4 5 6 7

#Subsystem      sftp    /usr/libexec/openssh/sftp-server #La he comentado yo: Subsystem      sftp    /usr/libexec/openssh/sftp-server Subsystem     sftp   internal-sftp Match Group sftpusers ChrootDirectory %h ForceCommand internal-sftp AllowTcpForwarding no

Reiniciamos el demonio ssh

# service sshd restart

1	# service sshd restart

Cambiamos el propietario y permisos de su /home a root

# chown root.root /home/usuario # chmod 755 /home/usuario

1 2	# chown root.root /home/usuario # chmod 755 /home/usuario

 

Otra forma de hacerlo en resto de Versiones Linux

Primero verificaremos que no tenemos /bin/rbash

# ls /bin/rbash

1	# ls /bin/rbash

Si no la tenemos la copiamos de /bin/bash y si la tenemos la dejamos como está 🙂

# cp -p /bin/bash /bin/rbash

1	# cp -p /bin/bash /bin/rbash

Ahora añadimos el bash al usuario, lo cual se puede hacer o modificando el /etc/passwd o bien con este comando

# usermod -s /bin/rbash usuario

1	# usermod -s /bin/rbash usuario

Si iniciásemos sesión con el usuario «usuario» nos debería salir algo así al tratar de movernos por las carpetas