Cómo crear una cárcel chroot en un servidor Linux para restringir el acceso de usuarios SSH

Cuando tienes un servidor con acceso SSH, a menos que lo hayas configurado de otra manera, cualquier usuario con una cuenta en ese sistema puede iniciar sesión y, si tiene los permisos y habilidades necesarias, causar estragos en tu servidor.

No quieres eso.

Lo que puedes hacer es restringir a esos usuarios con una cárcel chroot. Con esto, limitas severamente lo que esos usuarios pueden hacer en tu sistema. De hecho, cualquier usuario que esté limitado a una cárcel chroot solo puede:

1. Acceder al servidor a través de sftp
2. Acceder solo a un directorio específico

Esta es una gran adición de seguridad para tus servidores Linux y, si necesitas ese caso de uso, considera que es imprescindible. Esto es especialmente importante si tienes un servidor que almacena datos sensibles y no quieres que los usuarios siquiera vean esos archivos y carpetas.

Esta configuración no es tan desafiante. De hecho, la configuración es mucho más fácil que encontrar formas de implementar la función. Pero en aquellas ocasiones en las que necesitas restringir severamente lo que un usuario puede acceder en tus servidores Linux, esta es una forma segura de hacerlo.

Lo que necesitarás

Para que esto funcione, necesitarás una instancia en ejecución de Linux y un usuario con privilegios sudo. Eso es todo. Hagamos magia de seguridad.

Protección antivirus en línea: McAfee Clinic lleva la seguridad de tu PC al siguiente nivel

Cómo crear un grupo restringido y agregar usuarios en un servidor Linux

Lo primero que debemos hacer es crear un nuevo grupo y agregar usuarios a él. Crea el grupo con:

sudo groupadd restricted

A continuación, agrega un usuario al grupo con el comando:

sudo usermod -g restricted NOMBRE_DE_USUARIO

Donde NOMBRE_DE_USUARIO es el usuario que deseas agregar al grupo restringido.

Cómo configurar SSH

Abre el archivo de configuración del demonio SSH con:

Cómo proteger tu computadora de los virus: métodos y consejos

sudo nano /etc/ssh/sshd_config

Busca la línea (cerca de la parte inferior):

Subsystem sftp /usr/lib/openssh/sftp-server

Cambia esa línea a:

Subsystem sftp internal-sftp

Al final del archivo, agrega lo siguiente:

¡Defiéndete! Protege tu seguridad en línea contra amenazas críticas


Match group restricted
ChrootDirectory /home/
ForceCommand internal-sftp
AllowTcpForwarding no
X11Forwarding no


Guarda y cierra el archivo. Reinicia SSH con:

sudo systemctl restart ssh

Ahora, regresa a otra máquina e intenta conectar por SSH al servidor con el usuario, por ejemplo:

ssh [email protected]

Verás el aviso:

Protege tus contraseñas con PAM: Tu aliado para la seguridad

This service allows sftp connections only.
Connection to 192.168.1.147 closed.

Para que cualquier usuario del grupo restringido inicie sesión en el servidor, deben usar sftp de la siguiente manera:

sftp NOMBRE_DE_USUARIO@SERVIDOR

Donde NOMBRE_DE_USUARIO es el nombre de usuario y SERVIDOR es la dirección IP o el dominio del servidor. Una vez que inicien sesión correctamente, estarán en el prompt de sftp desde donde podrán transferir archivos de ida y vuelta con los comandos put y get. Esos usuarios restringidos solo pueden cargar archivos en sus directorios de inicio. Cuando un usuario restringido inicia sesión por primera vez, estará en el directorio /home. Entonces, para subir archivos exitosamente, tendrían que cambiar al directorio de inicio con un comando como:

cd olivia

Una vez en su directorio de inicio, pueden usar un comando como:

Cómo configurar un servidor VPN para hacer conexiones a través de firewalls

put file1

Mientras ese archivo esté en el directorio de trabajo actual de la máquina desde donde iniciaron sesión en el servidor, se cargará correctamente. Si esos usuarios solo necesitan descargar archivos en su máquina local, usarían un comando como:

get file1

Entiendo que esta es una configuración muy limitada con casos de uso muy específicos, pero en algún momento de tu carrera como administrador de Linux, te encontrarás con una instancia en la que necesitarás limitar a los usuarios a iniciar sesión en una cárcel chroot. Esta es una forma de hacerlo.

Suscríbete al canal de YouTube de Newsmatic’s How To Make Tech Work para obtener los últimos consejos tecnológicos para profesionales de negocios de Jack Wallen.

¡Alerta! Un nuevo gusano de Linux está propagándose

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a Cómo crear una cárcel chroot en un servidor Linux para restringir el acceso de usuarios SSH , tenemos lo ultimo en tecnología 2023.