3

Estoy configurando mi servidor y quería que los usuarios del grupo INVITADOS, NO puedan salir de /home/, es decir, imagínense que me dan acceso a dicho servidor y me crean un usuario llamado invitado1 dentro del grupo invitados (recuerden, esta gente no debe poder salir de sur directorio /home/).

Para conectarme yo al servidor hago lo siguiente:

ssh [email protected]

Me llevaria a:

usuario1@servidor:~$

Pues bien... Quiero que estando en ese directorio (y pertenecer al grupo INVITADOS) si intenta hacer cd .. no le deje porque no tiene los permisos necesarios para hacerlo.

¿Qué tendria que hacer para configurarlo? De antemano muchas gracias por la ayuda!

1
  • Lo que querés configurar se llama "Chrooted Jail". Se configura en /etc/ssh/sshd_config y tené cuidado cuando hagas cambios a ese archvio.
    – Juan
    Commented el 10 ago. 2019 a las 22:29

3 respuestas 3

2

en los sistemas operativos Unix como en Linux, una Cárcel (Chroot jail) es la expresión común que se utiliza para describir una sección de de archivos que va a utilizar un usuario en particular. En los servidores para compartir archivos es particularmente útil para la seguridad de las cuentas, archivos del sistema asi como para limitar al usuario a solo ver la carpeta asignada.

Editar el archivo sshd_config (respaldar antes de editar)

cp /etc/ssh/sshd_config vi /etc/ssh/sshd_config.bkp
vi /etc/ssh/sshd_config

Grupos:
Crear grupo para los usuarios que se van a tener acceso a las carceles, por ejemplo: invitados

groupadd -g 46 invitados

Creamos una carpeta en /home/ para el grupo de carceles

mkdir -p /home/invitados/

Usuarios:
Creamos una carpeta dentro de /home/invitados/ para un nuevo usuario (invitado1)

mkdir -p /home/invitados/invitado1/home

Agregamos el usuario invitado1 al sistema

useradd -c "invitado1" -u 660 -d /home/ -s /bin/false -G invitados invitado1

Permisos de Usuarios:
Cambiamos los permisos de las carpetas para que pueda leer solo su carpeta asignada, con esto ya sería suficiente

chown root:root /home/invitados/afiwdata/
chown usuario1:usuario1 /home/invitados/invitado1/home/

Espero haya sido de ayuda!

2

Se tiene que configurar chroot para los usuarios. Este puede ser para dos tipos de conexiones:

  1. SFTP (recomendado)
  2. SSH (más complicado configurar que opción 1)

En la opción de SSH, tendrías que copiar los archivos bin de los comandos que va a utilizar el usuario junto con las librerías de los mismos. Esto es necesario porque al enjaular el usuario, este no va a reconocer comandos como cd, mv, cp, etc... porque no puede ver fuera de su directorio hogar.

1

Se me ocurren varias formas, la primera es usando los permisos. Es decir:

Permisos.

Supongo la siguiente estructura.

algún directorio cualquiera donde trabajar/
      |
      |---- usuario1/
      |        |- archivo1
      |
      |
      |---- usuario2/
               |- archivo2

Entonces creamos dentro de nuestro espacio de trabajo dos directorios.

Primero modificamos el grupo al que estará vinculado.

sudo chown usuario1:grupo1 usuario1
sudo chown usuario2:grupo2 usuario2

Luego modificamos permisos

sudo chmod u=rwx,g=rwxs,o= usuario1 usuario2

Lo que hago es asignar permisos de lectura, escritura y ejecución para el dueño de la carpeta, también hago lo mismo para los que pertenezcan al grupo pero aquí hay un caracter "s" que explica que, cualquier cosa que se cree dentro de esta carpeta, heredará el grupo al que pertenece esa carpeta en lugar del grupo primario al que pertenezca el usuario que lo creo. Es decir, es un "bit pegajoso". Después lo que hago es que con o= elimino todos los demás permisos sobre esa carpeta para los demás usuarios, tanto lo que no sean los dueños como los que no pertenezcan al grupo. Borrando los permisos de lectura, no pueden hacer ls al directorio, y borrando los de ejecución, no pueden hacer un cd al directorio.

La clave de tu pregunta está en quitar los permisos de ejecución sobre las carpetas para los demás usuarios.

Dando un sudo ls -la debería aparecerte algo así.

drwxrws--- 1 usuario1 grupo1 512 Aug 10 17:47 usuario1
drwxrws--- 1 usuario2 grupo2 512 Aug 10 17:38 usuario2

Y cuando des un ls sobre el directorio usuario1, y tu no pertenezcas a grupo1 ni seas el usuario1, te aparecerá algo de la forma.

ls: cannot open directory 'usuario1': Permission denied

Lo análogo en el caso de cd.

Contenedor.

Otra opción que se me ocurre es que crees un contenedor con docker. Tu contenedor va a correr un servidor ssh dentro, y se podrá acceder con contraseña o con llave pública, es decir, tu Dockerfile tendría que quedar de la siguiente manera (lo tomé de un ejemplo que había hecho hace unos meses, no es preciso instalar todo lo que viene ahí, es para dar una idea).

FROM ubuntu:latest

RUN apt-get update -y \
        && apt-get upgrade -y \
        && apt-get install apt-utils openssh-server openssh-client sudo less vim -y \
        && mkdir /var/run/sshd \
        && sed -ri 's/(#)?(PasswordAuthentication )no/\2yes/' /etc/ssh/sshd_config \
        && sed 's@session\s*required\s*pam_loginuid.so@session optional pam_loginuid.so@g' -i /etc/pam.d/sshd \
        && echo "export VISIBLE=now" >> /etc/profile \
        && useradd -m -s /bin/bash -G root,sudo usuario \
        && echo 'usuario:usuariocon' | chpasswd \
        && mkdir /home/usuario/.ssh \
        && echo "<llavepublica>" >> /home/usuario/.ssh/authorized_keys \
        && chown usuario:usuario /home/usuario/.ssh/authorized_keys

EXPOSE 22/tcp

CMD ["/usr/sbin/sshd", "-D"]

Eso construye tu imagen cuando das docker build . -t <nombre de imagen>, lo tendrías que correr de la forma docker run -p <puerto deseado>:22 --name <nombre de contenedor> -t <nombre de imagen>

Y cuando te conectes ssh usuario@ip -p <puerto deseado>, estarás dentro de ese contenedor y estarás aislado de todo el resto del host (salvo sus recursos, que tendrías también que restringir).

2
  • ¿Alguien sabe por qué se voto de forma negativa mi respuesta? ¿Acaso es por extenderme al tocar el tema del contenedor?
    – Cuauhtli
    Commented el 10 ago. 2019 a las 23:41
  • Me imagino que es porque no cumple el requerimiento. La configuración que sugieres permite a los usuarios navegar en todo / donde tengan permisos. El camino correcto es hacer un chroot.
    – Chinork
    Commented el 1 sept. 2019 a las 6:43

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.