如何在Linux服务器上安全配置SFTP服务？

在当今数据传输日益频繁的网络环境中，安全性和稳定性是至关重要的考量因素，传统的FTP协议由于以明文方式传输数据，存在严重的安全隐患，已逐渐被更安全的协议所取代，SFTP（SSH File Transfer Protocol，SSH文件传输协议）正是其中的佼佼者，它基于SSH协议，所有传输的数据都经过加密，为文件交换提供了坚固的安全保障，本文将详细介绍如何在Linux服务器上配置一个隔离、安全的SFTP服务器，确保用户只能访问其指定的目录，无法登录系统Shell,从而构建一个可靠的文件共享环境。

准备工作

在开始配置之前，请确保您拥有一台具备sudo权限的Linux服务器（本文以Ubuntu/Debian系统为例，其他发行版步骤类似）,更新系统软件包并确保SSH服务已安装并运行。

sudo apt update
sudo apt upgrade -y
sudo systemctl status ssh

如果SSH服务未安装，可以通过 sudo apt install openssh-server 进行安装，接下来的所有配置都将围绕SSH服务的核心配置文件 /etc/ssh/sshd_config 展开。

创建SFTP专用用户和组

为了实现用户隔离和精细化管理，最佳实践是为SFTP用户创建一个独立的用户组，这样，我们可以通过配置SSH服务,对该组内的所有用户应用统一的SFTP访问策略。

1. 创建SFTP用户组：
   我们将创建一个名为 sftpusers 的组。

   sudo groupadd sftpusers

2. 创建SFTP用户：
   创建一个新用户（sftpuser），并将其添加到 sftpusers 组中，我们指定该用户的主目录,并禁止其登录Shell。

   sudo useradd -m -d /home/sftpuser -s /usr/sbin/nologin -G sftpusers sftpuser

   • -m：自动创建用户主目录。
   • -d /home/sftpuser：指定主目录路径。
   • -s /usr/sbin/nologin：指定用户的Shell为nologin,禁止其通过SSH登录服务器获取命令行界面。
   • -G sftpusers：将用户添加到 sftpusers 附加组。

3. 设置用户密码：
   为新创建的用户设置一个强密码。

   sudo passwd sftpuser

配置SSH服务

这是配置SFTP服务器的核心步骤，我们需要修改 /etc/ssh/sshd_config 文件，为 sftpusers 组的用户设置一个“chroot监狱”,将其活动范围限制在其主目录内。

使用文本编辑器打开配置文件：

sudo nano /etc/ssh/sshd_config

在文件末尾添加以下配置块：

# 匹配属于 sftpusers 组的用户
Match Group sftpusers
    # 强制使用 internal-sftp，并禁用端口转发
    ForceCommand internal-sftp
    # 将用户限制在其主目录（chroot监狱）
    ChrootDirectory /home/%u
    # 禁止TCP转发和X11转发，增强安全性
    AllowTcpForwarding no
    X11Forwarding no

配置项详解：

• Match Group sftpusers：表示接下来的配置仅对 sftpusers 组内的用户生效。
• ForceCommand internal-sftp：当用户登录时，强制执行 internal-sftp 服务，而不是用户默认的Shell,这是实现仅允许SFTP访问的关键。
• ChrootDirectory /home/%u：设置chroot的根目录。%u 是一个变量，代表当前登录的用户名。sftpuser 登录后，其根目录就是 /home/sftpuser，对于用户而言，这就是整个文件系统的根（）。
• AllowTcpForwarding no 和 X11Forwarding no：关闭端口转发和X11图形界面转发，防止用户利用SSH隧道进行其他网络活动,进一步加固安全。

设置目录权限

ChrootDirectory 指令有一个严格的安全要求：chroot目录本身（即 /home/sftpuser）以及其所有上级目录（直到根目录 ），都必须由 root 用户拥有，并且其他用户和所属组都不能有写入权限,这是为了防止用户提权或修改chroot环境。

1. 修改主目录所有者和权限：

   sudo chown root:root /home/sftpuser
   sudo chmod 755 /home/sftpuser

2. 创建用户可写目录：
   由于 /home/sftpuser 目录现在归 root 所有且不可写，sftpuser 用户将无法在其中创建或上传文件，我们需要在该目录下创建一个子目录,专门供用户读写。

   sudo mkdir /home/sftpuser/uploads
   sudo chown sftpuser:sftpusers /home/sftpuser/uploads
   sudo chmod 755 /home/sftpuser/uploads

   这样，sftpuser 用户登录后，可以进入 uploads 目录并进行文件操作,但无法删除或修改其上级目录。

为了更清晰地展示权限结构,可以参考下表：

重启服务并验证

所有配置完成后，保存并关闭 sshd_config 文件,然后重启SSH服务以使更改生效。

sudo systemctl restart sshd

您可以使用SFTP客户端（如FileZilla、WinSCP或命令行sftp）进行连接测试。

使用命令行测试：

sftp sftpuser@your_server_ip

输入密码后，如果成功，您将进入SFTP环境，执行 pwd 命令，会显示当前目录为 ，执行 ls -l 可以看到 uploads 目录，您可以 cd uploads 并尝试上传（put）或下载（get）文件，当您尝试 cd .. 或 ls / 时，会发现您仍然被限制在 /home/sftpuser 目录内，无法访问服务器的其他任何地方，至此，一个安全、隔离的SFTP服务器已配置完成。

相关问答FAQs

问题1：我按照步骤操作后，为什么SFTP客户端连接时立即断开，或者提示“Permission denied”？

解答： 这是最常见的问题，99%的情况是由于 ChrootDirectory 及其父目录的权限设置不正确导致的，请务必遵循以下规则：从chroot目录（/home/sftpuser）开始，一直到系统根目录 ，每一级目录的所有者都必须是 root，并且权限不能超过755（即组用户和其他用户不能有写权限），您可以使用 ls -ld /home /home/sftpuser 来检查权限，如果发现权限不对，请使用 sudo chown root:root [目录名] 和 sudo chmod 755 [目录名] 进行修正。

问题2：如何允许一个SFTP用户访问多个指定的目录，而不仅仅是其主目录内的一个子目录？

解答： SSH的chroot机制非常严格，一旦用户被chroot，就无法访问其外部目录，要实现访问多个目录，一个常用的方法是使用 mount --bind 命令，您想让 sftpuser 访问服务器的 /var/www/html 目录,可以先将该目录挂载到用户的chroot环境中：

1. 在用户主目录下创建一个挂载点：sudo mkdir /home/sftpuser/www
2. 执行绑定挂载：sudo mount --bind /var/www/html /home/sftpuser/www
3. 设置挂载点目录的所有者，确保用户可以访问：sudo chown sftpuser:sftpusers /home/sftpuser/www

这样，用户登录后就可以在 /www 目录下看到并操作 /var/www/html 的内容了，为了让这个挂载在服务器重启后依然生效，需要将其添加到 /etc/fstab 文件中，添加一行：/var/www/html /home/sftpuser/www none bind 0 0。