用rssh配置chroot的sftp

日常网络管理中上传和下载文件，普遍都是使用ftp，但是由于ftp的安全性。我们现在都会使用sftp和scp替代ftp。但是我们更希望用户只能scp和sftp来传文件，不希望用户能登录系统。
rssh就是这样一个软件，可以配合openssh把用户chroot在特定目录内上传和下载，并使该用户无法登录终端shell。
从 http://www.pizzashack.org/rssh/ 下载 rssh-2.3.2.tar.gz。
编译安装rssh：
$./configure –prefix=/usr --sysconfdir=/etc
$make
$su -
#make install
新增一名用户作测试：
#useradd test #安装普通方式建立用户
#usermod -s /usr/bin/rssh test #更改用户的shell
#sh mkchroot.sh /home/test #设置用户登录的目录为chroot
#vi /etc/rssh.conf
修改一下参数：
allowsftp
user=077:00010:“/home/test”

FAQ
由于用户登录进chroot目录中后即无法访问/dev/log，所以用下面的命令在chroot目录中建立一个FIFO文件.
# service syslog stop
# /sbin/syslogd -a /home/test/dev/log
# service syslog start

查看/home/test/dev下面多了一个log文件。

10. # mknod -m 666 /home/test/dev/null c 1 3 # 此处会解决在Linux下用sftp连接时提示connection closed，并且syslog中没有任何错误提
示的情况。

11. 此时在linux下使用 # sftp read@serverip 或者 在win下使用filezilla通过sftp方式即可登录。

问：想把用户限制在某个特定的目录下，该怎么办？
答：比如把read用户限制在 /usr/local/tomcat/webapps/ 下面，则：
1. 确保 /etc/passwd 中read用户的登录shell为/usr/local/bin/rssh

2. 复制 /opt/chroot/user/ 下面的所有内容到/usr/local/tomcat/webapps 下面，然后修改/usr/local/tomcat/webapps下面的dev、etc等刚复制
过来的目录的拥有者为read，并且修改chroot目录下的 home/read的所有者和组为read。

3. 编辑/usr/local/etc/rssh.conf，修改user=.....中的目录到相应目录即可。

4. 登录测试。

问：我想再添加一个受限用户，咋办？
答：凉拌。
1。 # useradd -s /usr/local/bin/rssh rsshtest & passwd rsshtest
2。 # grep rsshtest /etc/passwd >> /opt/chroot/user/etc/passwd
4。 编辑/usr/local/etc/rssh.conf，添加 user=rsshtest:022:00011:"/opt/chroot/user"
5。然后即可登陆测试，如果想限制在其他特定的目录中，请参考上面的问题解答。

注意：

1. 如果在不同的chroot目录中，只有重新执行/sbin/syslogd -a /chroot/user/dev/log才能在日志中记录新的用户的信息。
2. 如果不能登录，试着把/chroot/user/dev/下的null删了重建。
3. 如果在/etc/ssh/sshd_config中做了allowUsers的限制，确保新加的用户在允许列表里面。

问：我完全按照你的步骤做了，但win下使用filezilla无法登录，系统日志中提示：

答：执行 ldd /usr/libexec/openssh/sftp-server，出现下面的文件，
libcrypto.so.6 => /lib64/libcrypto.so.6 (0x00002aaaaacc6000)
libutil.so.1 => /lib64/libutil.so.1 (0x00002aaaab00d000)
libz.so.1 => /usr/lib64/libz.so.1 (0x00002aaaab210000)
libnsl.so.1 => /lib64/libnsl.so.1 (0x00002aaaab425000)
libcrypt.so.1 => /lib64/libcrypt.so.1 (0x00002aaaab63c000)
libresolv.so.2 => /lib64/libresolv.so.2 (0x00002aaaab870000)
libgssapi_krb5.so.2 => /usr/lib64/libgssapi_krb5.so.2 (0x00002aaaaba86000)
libkrb5.so.3 => /usr/lib64/libkrb5.so.3 (0x00002aaaabcb0000)
libk5crypto.so.3 => /usr/lib64/libk5crypto.so.3 (0x00002aaaabf38000)
libcom_err.so.2 => /lib64/libcom_err.so.2 (0x00002aaaac15e000)
libdl.so.2 => /lib64/libdl.so.2 (0x00002aaaac360000)
libc.so.6 => /lib64/libc.so.6 (0x00002aaaac564000)
libkrb5support.so.0 => /usr/lib64/libkrb5support.so.0 (0x00002aaaac8b3000)
/lib64/ld-linux-x86-64.so.2 (0x00002aaaaaaab000)

检查 /opt/chroot/user下对应的目录中是否有上面所列的文件，没有的话复制进来，完成后再试就可以了。

本文参考如下文章： http://hi.baidu.com/feixingqi/blog/item/27f70d33fdd866fd1b4cff5d.html http://www.dup2.org/node/296