Nene, ich möchte dir für deine Tipps und Hilfestellungen danken! Und das mit "GroupOwner <group>" hab ich falsch verstanden...vorhin ist mir aufgefallen, dass das nur für neu erstellte Ordner/Files gilt.

Der "Administratoraccount" sollte hat Zufriff auf alle benötigten Ordner haben (rwx). Per SSH kann ich doch keine Dateien übertragen?! Deswegen will ichs ja mit FTP machen. Der Server ist halt größtenteils ein Fileserver, der an Homeleitung hängt (Hintern nem NAT-Router). Wahrscheinlich wird er auch mal als Gameserver für LANs verwendet.
Auch wenn es dir als Unix-Guru  jetzt im Herzen schmerzen wird, aber dieses gewisse Sicherheitsrisiko kann ich aufgrund der Unbekanntheit des Servers in Kauf nehmen.

greetz
LORIO

Ich habe mein ganzes Vorhaben jetzt mal durchdacht:
Das mit dem Superuser habe ich mir egtl so vergestellt:
Ich Chroote den SU (im folgenden mit <su> abgekürzt) nicht, aber verbiete ihm mit
<Directory />
  <Limit ALL>
    DenyUser <su>
  </Limit>
<Directory>
den Zugriff aufs komplette Filesystem (entsprechende Ordner werden dann explizit erlaubt)

Was ist jetzt sinnvoller? (Auch wenn beides die Sicherheit einschränkt)
Den entsprechenden Ordnern chmod xx7 zu geben
   oder
dafür sorgen, dass <su> in der entsprechenden Ownergroup ist und dann chmod x7x zu vergeben. Denke der Weg wäre sicherer, obwohl alles beide aus selbe rauskommt, wenn jmd Zugriff auf den <su> bekommt.

Bei der zweiten Methode habe ich ein Problem:
Ich möchte PAM deaktivieren, also alles über "virtuelle" User/Groups regeln, aber wie kann ich mir chown/chgrp den User/Group auf einen Namen ändern, der nicht in der passwd/group existiert. Muss ich diese dann wirklich erstellen?

Wenn ich mit GroupOwner die Gruppe eines Files auf den des virtuellen <su> ändere, hat <su> dann wirlich die GroupRechte? Also wenn <su> nicht wirklich zu der Group gehört, die im Filesystem eingetragen ist.
Also an einem Beispiel:
<su> ist in der Group "sugrp"
Der Ordner "Folder1" hat als Owner "user1" und als Group "group1" und chmod 775
Mit "GroupOwner sugrp" ändere ich die Group von "Folder1" auf "sugrp" (zumindest für ProFTPd)
Hätte <su> jetzt rwx-Rechte? Ich denke ja, weil du hast ja gemeint ich solle mir das wie eine Shell vorstellen.

Sorry, meine Fragen sind glaube ich sehr verwirrend 

[kein Zugriff]

Du scheinst so genervt zu sein, dass du noch nichtmals meine Fragen richtg liest.

Noch ne kleine Frage werden mit "HideNoAccess on" auch die Ordner/Dateien ausgeblendet, bei denen der User laut Unixrechten kein Zugriff hat?

Wieso auch?
Mit "HideNoAccess" wird alles ausgeblendet, auf das der User kein Zugriffsrecht hat - sonst nix.

Meine Frage war in die Richtung: zählen bei "HideNoAccess on" nur die <LIMIT>-Blöcke oder aber auch zusätzlich die Unixrechte?

Ich Frage nämlich, weil ich es realisieren möchte, dass der User Zugriff auf sein Home aber auch Zugriff auf ein gemeinsames Userverzeichnis haben soll.


Das mit dem "Adminaccount":
So in der Art liegst du garnicht mal so falsch, denn ich bräuchte Zugriff auf mehrere Verzeichnisse: zum einen die Homedirs, den Ordner, den sich die User teilen, zum Ordner, auf dem ne Website liegt und dann noch auf /opt.
Um dies zu realisieren muss ich aber nicht erlauben, dass sich "root" einloggen darf, denn mit "DefaultRoot ~ ftpuser" kann ich das Chrooten ja auf Gruppen einschränken.

LORIO

Jo, bin recht neu in der Unixwelt, aber versteh mich nicht falsch:
Dies war nur ne Testkonfiguration, die natürlich nicht verwendet wird.
Also auf einem kleinen Testserver, der auch nicht im Netz hängt.

Und ich werde keinem User Zugriff aufs Rootdir bzw. auf /usr geben...
Sollte nur ein Test sein, ob nachher der Symlink auf /opt oder dergleichen zu sehen ist.

Noch ne kleine Frage werden mit "HideNoAccess on" auch die Ordner/Dateien ausgeblendet, bei denen der User laut Unixrechten kein Zugriff hat?

Hi!
Ich habe einen User "ftpuser" erstellt mit dem Homeverzeichnis /home. In /home und in /home/ftpuser liegt jeweils ein Symbolischer Link auf /usr, jedoch werden diese beim Windows-Explorer (anderer PC im Netzwerk) nicht angezeigt. Sie sind jedoch unter dem MS-DOS FTP-Client sichtbar. Erreichbar sind sie auch, da der User nicht ChRooted ist.

Jetzt kommt aber das erstaunliche: Wenn ich dem User das Homeverzeichnis / gebe und dann auf /home bzw. /home/ftpuser gehe, dann sehe ich sie auch im Windows-Explorer.

Weiß jemand Rat, so dass die SymLinks angezeigt werden?

Gruß
LORIO