Простий та простий спосіб ув’язнити користувачів

Мені потрібен простий і простий спосіб ув’язнити користувачів у їх домашніх довідниках в Oneiric. Чи є у вас проста конфігурація для ув'язнення користувачів, за допомогою повної допомоги, чи якісь хороші веб-посилання?

Я б пропонував онлайн-безкоштовний загальнодоступний сервер з вільним простором від 10 до 20 ГБ. Я не знаю, скільки користувачів. Я хочу дати їм SSH та SFTP, щоб вони могли з'єднуватися через FileZilla.

Jailkit - це набір утиліт, які можуть обмежувати облікові записи користувачів певним деревом каталогів та певними командами. Встановити в'язницю набагато простіше за допомогою служб Jailkit, які роблять це "вручну". Jail - дерево каталогів, яке ви створюєте у вашій файловій системі; користувач не може бачити каталогів або файлів, які знаходяться за межами каталогу в'язниці. Користувача перебувають у в'язниці в цьому каталозі та підкаталогах.

Завантажте та встановіть:

http://olivier.sessink.nl/jailkit/index.html#download

VERSION=2.20 # from November 2018
cd /tmp
wget https://olivier.sessink.nl/jailkit/jailkit-$VERSION.tar.gz
tar -zxvf jailkit-$VERSION.tar.gz
cd jailkit-$VERSION/
./configure
make
su -
make install

Встановлення в'язниці

Тепер прийшов час налаштувати каталогі в'язниці. Користувачі, які потрапили до в'язниці, будуть бачити цей каталог як кореневий каталог сервера. Я вирішив використовувати / домашню / в'язницю:

mkdir /home/jail
chown root:root /home/jail

jk_init можна використовувати для швидкого створення в'язниці з декількома файлами чи каталогами, необхідними для конкретного завдання чи профілю (натисніть на нього та прочитайте повну інформацію).

jk_init -v /home/jail basicshell
jk_init -v /home/jail netutils
jk_init -v /home/jail ssh
jk_init -v /home/jail jk_lsh

Додайте користувача

Додайте нового користувача з домашнім каталогом та bash shell та встановіть пароль:

useradd -d /home/jailtest -m jailtest -s /bin/bash
passwd jailtest

Тепер настав час ув’язнити цього користувача

використовувати таку команду:

jk_jailuser -m -j /home/jail jailtest

Тепер ви /etc/passwdповинні містити щось подібне:

jailtest:x:1001:1001::/home/jail/./home/jailtest:/usr/sbin/jk_chrootsh

Увімкнути bash

За допомогою jk_cp бібліотеки bash копіюються у в'язницю:

jk_cp -v -f /home/jail /bin/bash

Редагувати /home/jail/etc/passwd

замініть цей рядок:

jailtest:x:1001:1001::test:/usr/sbin/jk_lsh

з цим:

jailtest:x:1001:1001::/home/jailtest:/bin/bash

Технічне обслуговування

За допомогою jk_updateоновлень реальної системи можна оновити у в'язниці.

Пробіг покаже, що відбувається:

jk_update -j /home/jail -d

Без аргументу -d виконується реальне оновлення. Більше операцій з технічного обслуговування можна знайти тут.

(Якщо /home/jail/optвідсутній, створіть його за допомогою mkdir -p /home/jail/opt/ та запустіть jk_update -j /home/jailще раз)

Надайте доступ до інших каталогів

Ви можете монтувати спеціальні папки, до яких зараз може входити користувач в'язниці. Наприклад:

mount --bind /media/$USER/Data/ /home/jail/home/jailtest/test/

Довідка

http://olivier.sessink.nl/jailkit/howtos_chroot_shell.html

http://olivier.sessink.nl/jailkit/index.html#intro (дуже гарна допомога)

Цей також

Це перевірено та перевірено, працює належним чином

Ви не можете обмежувати їх до / home, оскільки їм потрібен доступ до системних бінарних файлів, файлів bash та конфігурації в / etc

Найпростішим методом забезпечення користувачів IMO є використання apparmor.

Ви робите міцне посилання

ln /bin/bash /usr/local/bin/jailbash

Ви додаєте джейлбаш до / etc / shell

Потім ви призначаєте jailbash для оболонки користувачів, а потім пишете профіль apparmor для jailbash, що забезпечує мінімальний доступ.

sudo chsh -s /usr/local/bin/jailbash user_to_confine

Вам доведеться самостійно написати профіль apparmor, але у мене є профіль, з якого ви могли б почати

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Важко здогадатися, яку мету ви могли б хотіти досягти. Якщо заборонити ssh / sftp при наданні в'язничного доступу через FTP ... легко:

Додати в / etc / shell нові оболонки:

sudo -e /etc/shells

Додати один рядок:

/bin/false

Зберегти. Для кожного користувача, якому ви хочете відхилити ssh / sftp, змініть оболонку користувача:

sudo chsh -s /bin/false userx

Тепер userx не може увійти через ssh / sftp.

Встановити vsftpd:

sudo apt-get install vsftpd

Редагуйте конфігураційний файл:

sudo -e /etc/vsftpd.conf

І деякі зміни….

anonymous_enable=NO
local_enable=YES
chroot_local_user=YES

Зберегти. Перезапустити vsftpd:

sudo /etc/init.d/vsftpd restart

Ви можете перевірити rbashяк оболонку для своїх користувачів.

man bash

Пошук RESTRICTED SHELLрозділу

Або подивіться на цій сторінці http://linux.die.net/man/1/bash