centos下sftp配置有哪些注意事项

CentOS 下 SFTP 配置注意事项

一 基础安全与组件

• 使用最新稳定版 OpenSSH 服务，变更前先备份 /etc/ssh/sshd_config。
• 推荐启用 internal-sftp（进程内子系统），更稳定、便于 chroot 管理：
  • 在 /etc/ssh/sshd_config 中设置：Subsystem sftp internal-sftp。
• 禁止 root 直接登录：PermitRootLogin no，降低爆破风险。
• 建议采用 SSH 密钥认证 替代口令，提升安全性与可审计性。

二 用户与目录权限

• 建立专用用户组（如 sftp）并创建仅用于 SFTP 的账号，禁止 shell 登录：
  • 示例：useradd -g sftp -s /sbin/nologin sftpuser。
• 使用 Chroot 限制 用户根目录（如 ChrootDirectory %h 或指定目录），被限制的目录及其所有上级目录必须满足：
  • 拥有者必须为 root:root。
  • 权限不超过 755，且上级目录不可有群组写入权限（否则 SFTP 会拒绝登录）。
• 为用户提供可写目录（在 chroot 内）：
  • 示例：在 /home/sftpuser 下创建 upload，并将属主设为该用户、属组设为 sftp，权限 755。

三 关键配置项与常见陷阱

• 典型配置片段（置于 /etc/ssh/sshd_config 末尾）：

  Subsystem sftp internal-sftp
  
  Match Group sftp
      ChrootDirectory %h
      ForceCommand internal-sftp
      AllowTcpForwarding no
      X11Forwarding no
  

  • 使用 Match Group/User 精确匹配；ForceCommand internal-sftp 可强制仅 SFTP，防止开启 shell。
  • 如确需 TCP 转发，再按需开启；否则一律关闭以减少攻击面。
• 常见错误与排查要点：
  • chroot 目录或其上级目录不是 root:root 或权限过宽（>755）会导致连接失败或仅显示 “This service allows sftp connections only”。
  • 误把 ForceCommand internal-sftp 放在全局而非 Match 块，可能影响其他用户；或错误注释 Subsystem 导致服务异常。
  • 修改后使用 sshd -t 检查配置语法，再重启 systemctl restart sshd，避免锁死。
  • 日志排查：连接失败、权限问题优先查看 /var/log/secure。

四 网络访问控制与防火墙

• 仅开放 SSH/SFTP 端口 22，并尽量限制来源 IP：
  • firewalld：firewall-cmd --zone=public --add-port=22/tcp --permanent && firewall-cmd --reload。
  • 或按需使用 iptables 限制可信网段访问 22 端口。
• 如运行在云环境，同步配置 安全组 规则，避免公网暴露。

五 运维与审计建议

• 启用 密钥登录、禁用口令（在确认密钥可用后再关闭 PasswordAuthentication），并妥善保护私钥。
• 保持系统与 OpenSSH 的定期更新与补丁管理。
• 按需审计与监控：
  • 定期检查 /var/log/secure 中的 SFTP 登录与失败记录。
  • 可扩展 rsyslog 将 SFTP 相关日志单独记录，便于审计与告警。