[jailkit] sftp 사용시 상위 디렉토리 접근 차단 방법 - jailkit

<CentOS 5 에서 jailkit 설치 방법>

 

1. jailkit 다운로드 - http://olivier.sessink.nl   

2. jailkit 설치 (root 계정)

$> yum install jailkit.x86_64

또는

$> tar jxvf jailkit-2.11.tar.bz2

$> cd jailkit

$> ./configure

$> make

$> su -

$> make install

3. jailkit init 파일 수정

$> vi /etc/jailkit/jk_init.ini

paths=/usr/libexec/openssh/sftp-server  #CentOS5 에서의 sftp-server 위치임.

4. chroot jail 생성

$> jk_init -v -j /var/jail basicshell ssh sftp   # http://olivier.sessink.nl/jailkit/jailkit.8.html

5. 계정 생성

$> adduser juser

$> passwd juser

6. jail 로 계정 정보 이동

$> jk_cp -j /var/jail /usr/sbin/jk_lsh

$> jk_jailuser -m -j /var/jail/ juser

7. sftp/scp only (기타사항 허용시 paths, executables에서 관련 실행파일을 , 단위로 나열하면 된다. *테스트필요)

$> mkdir -p /jail/etc/jailkit

$> vi /var/jail/etc/jailkit/jk_lsh.ini

[juser]

paths = /usr/libexec/openssh/

executables = /usr/libexec/openssh/sftp-server

allow_word_expansion = 0

8. 확인

$> cat /etc/passwd

juser:x:505:506::/var/jail/./home/juser:/usr/sbin/jk_chrootsh

$> sftp juser@localhost

sftp> 라고 나타나면 성공

이후 juser 계정으로 sftp를 접속하면 juser의 / 는 서버상의 /var/jail 이 되므로 상위 디렉토리를 볼 수 없게 된다.

 

<rocks clusters>

계정생성시 /export/home 과 같은 심볼릭링크로 걸면 되지 않는다.

그렇기 때문에,

adduser -d /state/partition1/home/juser juser

로 계정을 생성해야 하고,

$> cat /etc/passwd 시

juser:x:505:506::/var/jail/./state/partition1/home/juser:/usr/sbin/jk_chrootsh

으로 구성되어야 한다.

jail로 묶인 계정은 cluster 분석 계정으로 사용할 수 없다. (automount 문제)