【sftp】CentOS7.x上sftp的安装配置

一、实验背景

一、基于对线上服务器的保密和安全,不希望开发人员直接登录线上服务器,因为登录服务器的权限太多难以管控,如直接修改代码、系统配置等,希望能限制开发人员ssh登录机器,但是通过ftp/sftp上传代码文件。

二、项目中一些模块会调用sftp客户端程序,上传文件到服务器,实现相关功能,需要搭建好sftp服务端。

 

二、sftp服务简介

sftp是Secure FileTransferProtocol的缩写,安全文件传送协议,可以为传输文件提供一种安全的加密方法。

1)sftp 与 ftp 有着几乎一样的语法和功能

2)SFTP 为 SSH的一部分,是一种传输文件至服务器的安全方式

3)SFTP本身没有单独的守护进程,它必须使用sshd守护进程(端口号默认是22)来完成相应的连接操作

4)SFTP安全性非常高

5)SSH软件已经包含SFTP安全文件传输子系统

 

三、实验环境

系统操作: CentOS7.5 Mininal

IP : 192.168.1.103

 

四、sft软件安装

 

#  yum -y install openssh-server  openssh-clients

# ssh  -V

相比传统的FTP服务,SFTP 显得更加方便、安全,一般系统安装了 ssh 后,默认就安装了这个服务,我们只要简单的配置一下就可以了。

注:openssh-server 版本至少得 4.8p1, 因为配置权限需要版本添加的新配置项 ChrootDirectory 来完成。

 

五、配置sftp

 

SFTP 账号是基于 SSH 账号(也就是操作系统账户)的,默认情况下访问服务器的权限很大,怎样像FTP那样限制 SFTP 账号相关的访问权限呢?

 

1.我们需要创建一个用户组,专门用于sftp用户

#  groupadd  sftp

 

2. 创建一个用户test,附加到sftp组,不允许登录操作系统

# useradd  -G sftp  -s /bin/false  test

#  passwd --stdin  test <<<  "Test@123"

 

3. 编辑配SSH置文件

注释掉  Subsystem      sftp    /usr/libexec/openssh/sftp-server 行 ,添加一行 Subsystem sftp internal-sftp

注:如果这行文字存在且没有被注释掉,那么SFTP已经开启,所有可使用ssh的用户都可使用SFTP,但是这种方式有一个缺陷,就是用户在SFTP软件里面可以cd / 从而看到系统所有文件。

为什么实用 internal-sftp 而不用默认的 sftp-server?

因为这是一个进程内的 sftp 服务,当用户 ChrootDirectory 的时候,将不请求任何文件,且有更好的性能,不用为 sftp 再开一个进程。

# vim  /etc/ssh/sshd_config

################################################

Subsystem sftp internal-sftp

Match Group sftp

    chrootDirectory %h

    ForceCommand internal-sftp

    X11Forwarding no

    AllowTcpForwarding no

#################################################

 

相关配置说明:

########################################################

# 匹配用户组,如果要匹配多个组,多个组之间用逗号分割

Match Group sftp

# 指定登陆用户到自己的用户目录  %为相应的家目录 %u为相应的用户名

ChrootDirectory %h

# 指定 sftp 命令

ForceCommand internal-sftp

#是否允许用户能使用端口转发

X11Forwarding no

AllowTcpForwarding no

##########################################################

4.修改test用户home文件夹的权限,让其属于root用户

# chown root:test  /home/test

# chmod 750  /home/test

请确保sftp用户根目录的所有人是root, 权限是 750 或者 755。

注意以下两点原则:

4.1 chrootDirectory目录开始一直往上到系统根目录为止的目录拥有者都只能是 root,用户组可以不是 root。

4.2 chrootDirectory目录开始一直往上到系统根目录为止都不可以具有群组写入权限

chrootDirectory目录和所有上游目录属主只能是root,并且不能由任何其他用户写入,否则你将在日志中看到错误报错"chroot目录的错误所有权或模式"。

sftp使用chroot指定根目录后,根应是无法写入的,所以要在chrootDirectory目录下新建一个目录如upload,供test用户上传文件,这个目录所有者为test,所有组为sftp,所有者有写入权限,而所有组无写入权限,权限为700、750或者755。

如果 chrootDirectory/upload 权限为700、750或者755,那么只能是 test用户上传文件,如果其他用户属于sftp组,要使其也有上传权限,目录权限需设置为770。

# mkdir  /home/test/upload

# chown test:sftp /home/test/upload

# chmod 750  /home/test/upload

 

 

根据上面例子,如果我们想要指定其他的 ChrootDirectory,操作就变得简单了!

我们以 ChrootDirectory 是/opt/sftp/chroot为例

# vim /etc/ssh/sshd_config

####################################

Subsystem sftp internal-sftp

Match Group sftp

    chrootDirectory  /opt/sftp/chroot

    ForceCommand internal-sftp

    X11Forwarding no

    AllowTcpForwarding no

####################################

 

 

# mkdir -p /opt/sftp/chroot

# mkdir -p /opt/sftp/chroot/upload

 

#  chown  root:test /opt/sftp/chroot

# chown  test:sftp /opt/sftp/chroot/upload

 

# chmod  750  /opt/sftp/chroot

# chmod  700  /opt/sftp/chroot/upload

 

 

 

5. 重启sshd服务

# systemctl  restart sshd 

# systemctl  status sshd 

 

六、登录和文件上传测试

 

测试登录

➤ ssh  [email protected]

 

文件上传测试

 

直接上传到 ChrootDirectory,权限不足

 

上传文件到 ChrootDirectory/upload目录下,成功

 

从服务端验证文件上传,关注一下属主属组,为test

 

sftp   [email protected]

 

 

七、参考

Linux(CentOS)上配置 SFTP

https://segmentfault.com/a/1190000008578734

 

关于设置sftp 指定端口

http://www.voidcn.com/article/p-gmgqtfrv-ze.html

 

SFTP+OpenSSH+ChrootDirectory 设置详解

https://blog.zengrong.net/post/1616.html

 

OpenSSH的SFTP服务器设置

https://caibaoz.com/blog/2013/04/27/sftp_config_for_openssh/#sftp_config_for_openssh_2.1

 

Linux 配置SFTP,配置用户访问权限

https://blog.csdn.net/yanzhenjie1003/article/details/70184221

 

Linux Centos 6.6搭建SFTP服务器

https://blog.csdn.net/xinxin19881112/article/details/46831311

 

sftp的安装配置

https://blog.51cto.com/cmdschool/1771670

 

如何配置linux用户实现禁止ssh登陆机器但可用sftp登录

https://blog.csdn.net/qq_35440678/article/details/52788808

 

配置linux用户实现禁止ssh登陆但可用sftp登录

https://blog.51cto.com/moerjinrong/2149837

 

Linux下ssh/sftp配置和权限设置

https://my.oschina.net/sallency/blog/784022

 

OpenSSH: Difference between internal-sftp and sftp-server

https://serverfault.com/questions/660160/openssh-difference-between-internal-sftp-and-sftp-server

 

Secure chroot() remote file access via SFTP and SSH

https://blog.famzah.net/2011/02/03/secure-chroot-remote-file-access-via-sftp-and-ssh

 

什么是 AWS Transfer for SFTP?

https://docs.aws.amazon.com/zh_cn/transfer/latest/userguide/what-is-aws-transfer-for-sftp.html

 

sublime text3 安装、配置sftp插件

https://blog.csdn.net/pheona1990/article/details/52092799

你可能感兴趣的:(Linux,sftp)