FTPじゃ暗号されなくていやーんとなってきたのでsftpを調査
sftpといってもSSHが外部に公開されるので攻撃されたら困るので、sftpユーザはchrootすることとシェルでログインできないようにする設定
/etc/ssh/sshd_configの最後ぐらいに追記
Match User test-* ChrootDirectory ~ ForceCommand internal-sftp #ログを/var/log/secureに落としたい場合 #ForceCommand internal-sftp -f local5 -l INFO
sftpを利用するユーザは「test-*」の命名規則にする
ログイン後chrootされて、「/upload/」 フォルダが読み書き可能
「/」はownerがrootのため、読み込みのみで書き込みはできない
のようにする場合は、以下のような感じ。
adduser test-sftp01 chown root:root /home/test-sftp01/ chmod 755 /home/test-sftp01/ mkdir /home/test-sftp01/upload/ chown test-sftp01:test-sftp01 /home/test-sftp01/upload/
chrootしたディレクトリのOwnerがrootでないと以下のようなエラーとなる
/var/log/secure
fatal: bad ownership or modes for chroot directory component "/home/test-sftp01/" [postauth]
sftpでchrootに設定しているユーザがSSHで繋ごうとすると以下のようなメッセージで接続拒否する
This service allows sftp connections only.
＜追記＞
CentOS6の場合
（openssh-server-5.3p1-123.el6_9）
#Subsystem sftp /usr/libexec/openssh/sftp-server Subsystem sftp internal-sftp
として、大本のsftpのSubsystemを切り替えておかないと
以下のようなメッセージで怒られることが判明、
Match User句でForceCommandでinternal-sftpを指定して
いてもNGな模様。
subsystem request for sftp error: subsystem: cannot stat /usr/libexec/openssh/sftp-server: No such file or directory subsystem request for sftp failed, subsystem not found The session allows sftp connections only
＞ CentOS7(openssh-server-7.4p1-13.el7_4)はSubsystemは変更なしでもOKでした。
＜その他メモ＞
Match User の中にsshd_configで個別ユーザに設定できるような制御も可能
→鍵認証のみにする、しない
PasswordAuthentication no
→umaskを変えたい場合
ForceCommand internal-sftp -u 002