Prosty i łatwy sposób na uwięzienie użytkowników

Potrzebuję prostego i łatwego sposobu uwięzienia użytkowników w ich katalogach domowych w Oneiric. Czy masz prostą konfigurację do więzienia użytkowników, z pełną pomocą lub dobre linki internetowe?

Oferowałbym darmowy publiczny serwer online z 10 do 20 GB wolnego miejsca. Nie wiem ilu użytkowników. Chcę dać im SSH i SFTP, aby mogli połączyć się przez FileZilla.

Jailkit to zestaw narzędzi, które mogą ograniczyć konta użytkowników do określonego drzewa katalogów i określonych poleceń. Utworzenie więzienia jest o wiele łatwiejsze dzięki narzędziom Jailkit, które robią to „ręcznie”. Więzienie to drzewo katalogów tworzone w systemie plików; użytkownik nie widzi żadnych katalogów ani plików spoza katalogu więzienia. Użytkownik jest więziony w tym katalogu i podkatalogach.

Pobierz i zainstaluj:

http://olivier.sessink.nl/jailkit/index.html#download

VERSION=2.20 # from November 2018
cd /tmp
wget https://olivier.sessink.nl/jailkit/jailkit-$VERSION.tar.gz
tar -zxvf jailkit-$VERSION.tar.gz
cd jailkit-$VERSION/
./configure
make
su -
make install

Utworzenie więzienia

Teraz nadszedł czas, aby skonfigurować katalog więzienia. Więzieni użytkownicy zobaczą ten katalog jako katalog główny serwera. Wybrałem / home / więzienie:

mkdir /home/jail
chown root:root /home/jail

jk_init może być użyty do szybkiego utworzenia więzienia z kilkoma plikami lub katalogami potrzebnymi do konkretnego zadania lub profilu (kliknij na niego i przeczytaj wszystkie szczegóły).

jk_init -v /home/jail basicshell
jk_init -v /home/jail netutils
jk_init -v /home/jail ssh
jk_init -v /home/jail jk_lsh

Dodaj użytkownika

Dodaj nowego użytkownika z katalogiem domowym i powłoką bash i ustaw hasło:

useradd -d /home/jailtest -m jailtest -s /bin/bash
passwd jailtest

Teraz czas uwięzić tego użytkownika

użyj następującego polecenia:

jk_jailuser -m -j /home/jail jailtest

Twój /etc/passwdpowinien teraz zawierać coś takiego:

jailtest:x:1001:1001::/home/jail/./home/jailtest:/usr/sbin/jk_chrootsh

Włącz bash

Za pomocą jk_cp biblioteki bash są kopiowane do więzienia:

jk_cp -v -f /home/jail /bin/bash

Edytować /home/jail/etc/passwd

zamień ten wiersz:

jailtest:x:1001:1001::test:/usr/sbin/jk_lsh

z tym:

jailtest:x:1001:1001::/home/jailtest:/bin/bash

Konserwacja

Dzięki zastosowaniu jk_updateaktualizacji w prawdziwym systemie można aktualizować w więzieniu.

Dry-run pokaże, co się dzieje:

jk_update -j /home/jail -d

Bez argumentu -d wykonywana jest prawdziwa aktualizacja. Więcej operacji konserwacyjnych można znaleźć tutaj.

(W przypadku /home/jail/optbraku, utwórz go za pomocą mkdir -p /home/jail/opt/ i uruchom jk_update -j /home/jailponownie)

Daj dostęp do innych katalogów

Możesz montować specjalne foldery, do których użytkownik więzienia może uzyskać dostęp teraz. Na przykład:

mount --bind /media/$USER/Data/ /home/jail/home/jailtest/test/

Podjęta pomoc

http://olivier.sessink.nl/jailkit/howtos_chroot_shell.html

http://olivier.sessink.nl/jailkit/index.html#intro (bardzo dobra pomoc)

Ten też

Zostało to sprawdzone i zweryfikowane, działa poprawnie

Nie możesz ograniczyć ich do / home, ponieważ potrzebują dostępu do plików binarnych systemu oraz plików bash i konfiguracyjnych w / etc

IMO najłatwiejszą metodą zabezpieczenia użytkowników jest użycie apparmor.

Tworzysz twardy link

ln /bin/bash /usr/local/bin/jailbash

Dodajesz jailbash do / etc / shells

Następnie przypisujesz jailbash do powłoki użytkowników, a następnie piszesz profil apparmor dla jailbash, umożliwiając minimalny dostęp.

sudo chsh -s /usr/local/bin/jailbash user_to_confine

Będziesz musiał sam napisać profil Apparmor, ale ja mam profil, od którego możesz zacząć

http://bodhizazen.com/aa-profiles/bodhizazen/ubuntu-10.04/usr.local.bin.jailbash

Trudno zgadnąć, jaki cel możesz osiągnąć. Jeśli ma odmówić ssh / sftp podczas zapewniania dostępu do więzienia przez FTP ... łatwe:

Dodaj do / etc / shells nową powłokę:

sudo -e /etc/shells

Dodaj jedną linię:

/bin/false

Zapisać. Dla każdego użytkownika, któremu chcesz odmówić ssh / sftp, zmień jego powłokę:

sudo chsh -s /bin/false userx

Teraz userx nie może się zalogować przez ssh / sftp.

Zainstaluj vsftpd:

sudo apt-get install vsftpd

Edytuj plik konfiguracyjny:

sudo -e /etc/vsftpd.conf

I kilka zmian ....

anonymous_enable=NO
local_enable=YES
chroot_local_user=YES

Zapisać. Uruchom ponownie vsftpd:

sudo /etc/init.d/vsftpd restart

Możesz sprawdzić rbashjako powłokę dla swoich użytkowników.

man bash

Wyszukaj RESTRICTED SHELLsekcję

Lub spójrz na tę stronę http://linux.die.net/man/1/bash