構想和目標

最近有個這樣的訴求：基於對線上伺服器的保密和安全，不希望開發人員直接登入線上伺服器，因為登入伺服器的許可權太多難以管控，如直接修改程式碼、系統配置，並且也直接連上mysql。因此希望能限制開發人員ssh登入機器，但是通過ftp/sftp上傳程式碼檔案。
在網上找個各種各樣的方法，經過試驗做個彙總：

方法一

這篇帖子的方法是搜尋到的最通用的方法，方法是否可能呢，直接做個測試。

建立禁止登陸的使用者：

useradd test -M -s /sbin/nologin

試試ssh登陸：登陸失敗

[[email protected] app]# ssh [email protected]
 

[email protected]172.19.194.30's password: 
Last login: Tue Oct 11 15:28:07 2016 from 172.18.135.185
This account is currently not available.
Connection to 172.19.194.30 closed.

試試sftp登陸：同樣也提示登陸失敗！！！

[[email protected] app]# sftp [email protected]172.19.194.30
[email protected]172.19.194.30
 
's password: 
Received message too long 1416128883
[[email protected] app]#

可以看到，方法一，雖然限制了ssh登陸，但是同時也限制了sftp的連線，結論是此方法行不通。

方法二

1. 首先修改sshd的配置檔案：

#vim /etc/ssh/sshd_config

#該行(上面這行)註釋掉
#Subsystem sftp /usr/lib/openssh/sftp-server

# 新增以下幾行
Subsystem sftp internal-sftp 
Match group sftp
#Match user test
#匹配sftp組，如為單個使用者可用：Match user 使用者名稱;  設定此使用者登陸時的shell設為/bin/false,這樣它就不能用ssh只能用sftp
 

ChrootDirectory /home/test
#指定使用者被鎖定到的那個目錄，為了能夠chroot成功，該目錄必須屬主是root，並且其他使用者或組不能寫
X11Forwarding no
AllowTcpForwarding no
ForceCommand internal-sftp

2. 新增使用者組和使用者

#新增使用者組
groupadd sftp

#新增使用者
useradd -d /home/test -m -s /bin/false -g sftp test

#修改密碼
passwd test

3. 重啟SSH服務

service sshd restart

或者

/etc/init.d/ssh reload

4. 測試ssh

[[email protected] etc]# ssh [email protected]172.19.194.30
[email protected]172.19.194.30's password: 
Write failed: Broken pipe

登陸失敗，提示Write failed: Broken pipe錯誤

5. 再測試sftp

[root@localhost etc]# sftp [email protected]
test@172.19.194.30's password: 
Write failed: Broken pipe
Couldn't read packet: Connection reset by peer

同樣提示Write failed: Broken pipe

6. 按理說此方法應該是靠譜的為什麼會提示失敗呢，通過查詢發現是目錄許可權配置導致的:

目錄許可權設定上要遵循2點：
ChrootDirectory設定的目錄許可權及其所有的上級資料夾許可權，屬主和屬組必須是root；
ChrootDirectory設定的目錄許可權及其所有的上級資料夾許可權，只有屬主能擁有寫許可權，許可權最大設定只能是755。

修改/home/test 目錄許可權為755

chmod 755 /home/test -R

7. 再次測試

[[email protected] etc]# ssh [email protected]
[email protected]172.19.194.30's password: 
Could not chdir to home directory /home/test: No such file or directory
This service allows sftp connections only.
Connection to 172.19.194.30 closed.

和預期一致：ssh嘗試連線失敗。

[[email protected] etc]# sftp test@172.19.194.30
test@172.19.194.30's password: 
Connected to 172.19.194.30.
sftp> ls
a                a.log            authorized_keys  mysql.sh         
sftp>

sftp測試連線成功！

總結

這個東西雖然沒有太大的技術含量，但是通過網上查詢的大多是雷同且行不通的，又或者是不完整的，過程中耽誤和浪費了不少時間，希望寫這篇部落格做個驗證和彙總的作用。

參考：