chroot und sftp

Kontrollere mal im auth.log, was da für Fehler beim Login auftauchen. Meistens ist der Fehler, dass nicht alle Verzeichnisse inklusive des Basisverzeichnisses des Users root gehören. Verzeichnisse innerhalb des Basisverzeichnisses des Benutzers können dann dem Benutzer gehören.

So mache ich das immer:
Chroot SFTP users with OpenSSH | Ubuntu Server Tutorials

Jeder User hat eine eigene authorized_keys. Zum sftp kann ich leider nichts sagen.

Also funktioniert schon der Login mit einem Schlüssel nicht?

sftp geht auch mit passwort

Du kannst ja auch in das Match Group für die SFTP Benutzer das Anmelden mit Passwort wieder erlauben. Setze da noch ein Fail2Ban auf die SSH Logs und stelle 10 Versuche vor IP Sperre ein oder so. Dann kann auch nichts passieren.

Vielleicht ist es offtopic, vielleicht genau das was du willst:

FTP mit SSL verschlüsseln?
Also bei Netcup eine Zertifikat bestellen oder bei Startcom eins machen und dann FTPS nutzen.

Das geht vielleicht schneller als chroot und sftp.

dann einfach unverschlüsseltes ftp sperren und fertig.

Mainboarder, für sowas wie SFTP/FTPES extra einen Dienst anlegen ist Blödsinn. Nur ein Dienst mehr den man pflegen musss.

Fabian:
In der Zeile ChrootDirectory hast Du den Basisordner vergessen. %h enthält nur den Usernamen. Du müsstest also /home/%h schreiben oder ähnliches.

Ja genau.

Er sagt einfach "Alles was mehr als X Versuche in Y Minuten braucht wird für Z Minuten mit iptables gesperrt".

Zur Basiskonfiguration reicht das: SSH Login unter Debian mit fail2ban absichern – Thomas Krenn Wiki

Fabian: wenns läuft, kannst du das jetzt auch so lassen. und - sofern nicht benötigt - ftp zumindest abschalten (aus systemstart rausnehmen nicht vergessen)

perryflynn: ob er nun ein sftp mit chroot einrichtet oder ftp mit ssl, scheint mir keinen großen unterschied zu machen (ftp läuft ja schon). jetzt scheint es ja aber zu funktionieren, da muss ftps nun wirklich nicht noch sein, wenn es nicht benötigt wird.

Wieso soll ftp laufen, wenn man sftp benutzt? Das eine hat mit dem anderen nichts zu tun...

dragon: wenn man selbst nicht der einzige ist, der zugriff auf den server hat (bsp. root und webhosting kunden), kann es durchaus notwendig sein, beides offen zu halten. ist bei mir zum beispiel mit imap und pop3 so.
da er schrieb, dass die user sich nur per sftp verbinden sollen, ist das nicht ganz ungerechtfertigt.

so meinte ich das aber nicht.
vielmehr meinte ich, dass es im grunde egal ist, für welche von beiden optionen er sich entscheidet (wenn es darum geht daten nicht im klartext zu übertragen). es ist besser eins richtig zum laufen zu bekommen, als sich ewig mit einem dienst zu beschäftigen, der nur so halb läuft, wenn das andere vielleicht schneller zum ziel führt.

ich hoffe, das kann jetzt jeder der will verstehen