linux中怎么搭建SFTP服务

发布时间：2021-06-18 15:23:34 作者：Leah
来源：亿速云阅读：281

# Linux中怎么搭建SFTP服务

## 什么是SFTP

SFTP（SSH File Transfer Protocol）是基于SSH协议的安全文件传输协议。与传统的FTP不同，SFTP通过加密通道传输数据，默认使用22端口（与SSH相同），提供了更高的安全性。

## SFTP vs FTP

| 特性        | SFTP               | FTP                |
|-------------|--------------------|--------------------|
| 加密        | 是（SSH加密）      | 明文传输           |
| 端口        | 22（默认）         | 21（控制）20（数据）|
| 协议        | 基于SSH            | 独立协议           |
| 防火墙友好  | 是（单端口）       | 需要开放多个端口   |
| 安全性      | 高                 | 低                 |

## 搭建SFTP服务步骤

### 1. 确认SSH服务已安装

SFTP是SSH的子系统，因此需要先安装SSH服务：

```bash
# 检查SSH是否安装
ssh -V

# 如果未安装（以Ubuntu/Debian为例）
sudo apt update
sudo apt install openssh-server -y

# 启动SSH服务
sudo systemctl start ssh
sudo systemctl enable ssh

2. 创建SFTP专用用户组和用户

为安全考虑，建议创建专用用户组和用户：

# 创建sftp用户组
sudo groupadd sftpusers

# 创建用户（以sftpuser为例）
sudo useradd -m -G sftpusers -s /bin/false sftpuser
sudo passwd sftpuser

# 验证用户shell配置
grep sftpuser /etc/passwd
# 应显示类似：sftpuser:x:1001:1001::/home/sftpuser:/bin/false

3. 配置SSH以限制SFTP访问

编辑SSH配置文件：

sudo nano /etc/ssh/sshd_config

在文件末尾添加或修改以下内容：

# 限制sftpusers组只能使用SFTP
Match Group sftpusers
    ChrootDirectory /home/%u
    ForceCommand internal-sftp
    AllowTcpForwarding no
    X11Forwarding no

关键参数说明： - ChrootDirectory：将用户限制在自己的家目录 - internal-sftp：使用内置SFTP实现 - AllowTcpForwarding no：禁止端口转发

4. 设置目录权限

# 设置正确的目录权限
sudo chown root:root /home/sftpuser
sudo chmod 755 /home/sftpuser

# 创建用户可写的上传目录
sudo mkdir /home/sftpuser/upload
sudo chown sftpuser:sftpuser /home/sftpuser/upload
sudo chmod 755 /home/sftpuser/upload

5. 重启SSH服务

sudo systemctl restart ssh

高级配置

1. 使用不同端口

修改/etc/ssh/sshd_config：

Port 2222

然后重启SSH服务。

2. 限制用户登录IP

在/etc/ssh/sshd_config中添加：

Match Group sftpusers Address 192.168.1.*
    ChrootDirectory /home/%u
    ForceCommand internal-sftp

3. 启用日志记录

# 在sshd_config中添加
Subsystem sftp /usr/lib/openssh/sftp-server -l INFO -f AUTH

日志将记录在/var/log/auth.log中。

测试SFTP连接

使用命令行测试

sftp -P 22 sftpuser@your_server_ip

使用FileZilla等GUI工具

配置参数： - 协议：SFTP - 主机：服务器IP - 端口：22（或自定义端口） - 用户名/密码：之前设置的用户凭证

常见问题解决

1. 连接时报”Received message too long”

解决方案：

sudo nano /etc/ssh/sshd_config

添加：

Subsystem sftp internal-sftp

2. 用户无法上传文件

检查： 1. 确保upload目录存在且权限正确 2. 确认SELinux状态（如果是CentOS/RHEL）：

   sudo setsebool -P ssh_chroot_rw_homedirs on

3. 连接超时

检查： 1. 防火墙是否放行SSH端口

   sudo ufw allow 22/tcp

云服务器安全组规则

安全最佳实践

禁用root登录：
```
PermitRootLogin no
```
使用密钥认证： “`bash

生成密钥对

ssh-keygen -t rsa -b 4096

# 将公钥上传到服务器 ssh-copy-id sftpuser@server_ip

# 在sshd_config中配置 PasswordAuthentication no PubkeyAuthentication yes

3. **定期更新**：
   ```bash
   sudo apt update && sudo apt upgrade openssh-server

监控登录尝试：
```
sudo apt install fail2ban
```

性能优化

增加SSH连接数：
```
MaxSessions 10
MaxStartups 10:30:60
```
启用压缩：
```
Compression yes
```

调整加密算法：


Ciphers aes256-ctr,aes192-ctr,aes128-ctr
MACs hmac-sha2-512,hmac-sha2-256

备份配置

建议备份重要配置文件：

sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

总结

通过以上步骤，您已在Linux系统上成功搭建了安全的SFTP服务。关键点包括： 1. 使用专用用户和组 2. 正确配置Chroot环境 3. 遵循最小权限原则 4. 实施额外的安全措施

这种配置既满足了文件传输需求，又确保了系统安全性，适合大多数企业级应用场景。

注意：所有配置修改后都需要执行sudo systemctl restart ssh使更改生效。生产环境中建议先在测试环境验证配置。 “`