Не могу заставить корректно работать лимиты proftpd.

конфиг следующий:
аутентификация юзеров из файла + система + TLS

аутентификация - ок
права на директории - ок

DefaultRoot ~

<Directory /upload >
  <Limit STOR>
    Order allow,deny
    AllowAll
  </Limit>
  <Limit READ WRITE RNFR>
    AllowUser ftpadmin           #< - реальный пользователь
    AllowGroup moderators        #< - группа виртуальных пользователей
    DenyAll
  </Limit>
</Directory>

<Directory / >
  <Limit WRITE>
    Order deny,allow
    DenyGroup users
    AllowUser ftpadmin
    AllowGroup moderators
  </Limit>
</Directory>

мне надо запретить запись в / пользователя участникам группы users и разрешить запись в только /upload

Данная конфигурация не работает. Пользователь не может писать в upload. Надо чтоб мог.
Если не указывать лимиты - пользователь пишет и в рут и в рут/upload

TraceLog

Apr 26 14:10:32 [9861] <response:1>: 220 FTP Server ready.
Apr 26 14:10:32 [9861] <response:1>: 234 AUTH TLS successful
Apr 26 14:10:33 [9861] <response:1>: 331 Password required for user0101
Apr 26 14:10:33 [9861] <directory:2>: matched <Directory /> for '/path/to/user/home/'
Apr 26 14:10:33 [9861] <response:1>: 230 User user0101 logged in
Apr 26 14:10:33 [9861] <response:1>: 200 UTF8 set to on
Apr 26 14:10:33 [9861] <response:1>: 200 PBSZ 0 successful
Apr 26 14:10:33 [9861] <directory:2>: matched <Directory /> for '/path/to/user/home/'
Apr 26 14:10:33 [9861] <response:1>: 200 Protection set to Private
Apr 26 14:10:33 [9861] <directory:2>: matched <Directory /> for '/path/to/user/home/upload'
Apr 26 14:10:33 [9861] <response:1>: 250 CWD command successful
Apr 26 14:10:33 [9861] <response:1>: 200 Type set to I
Apr 26 14:10:33 [9861] <directory:2>: matched <Directory /> for '/path/to/user/home/upload'
Apr 26 14:10:33 [9861] <response:1>: 227 Entering Passive Mode (192,168,123,125,173,87).
Apr 26 14:10:33 [9861] <directory:2>: matched <Directory /> for '/path/to/user/home/upload/ 002.jpg'
Apr 26 14:10:33 [9861] <response:1>: 550  002.jpg: Operation not permitted
Apr 26 14:20:17 [9860] <response:1>: async: 421 Idle timeout (600 seconds): closing control connection

ОС федора 13, Selinux включен, контексты нужные.

Смущает вот это  <directory:2>: matched <Directory /> for '/path/to/user/home/upload/
Такое ощущение что лимит <Directory / > перекрывает <Directory /upload>

Помогите.. Куда копать не знаю.