Linux云服务器SFTP服务配置全攻略

一、SFTP基础概念

SFTP(SSH File Transfer Protocol)是基于SSH协议的安全文件传输方式，相比传统FTP具有加密传输、端口复用等优势：

• 加密传输：所有数据通过SSH隧道加密
• 单端口：默认使用SSH的22端口
• 完整性检查：防止传输过程中数据被篡改

二、准备工作

在开始配置前，请确保：

1. 拥有云服务器root权限或sudo权限
2. 已安装OpenSSH服务端(通常默认安装)
3. 了解基本的Linux命令操作

三、分步配置指南

1. 确认SSH服务状态

# 检查SSH服务状态
systemctl status sshd

# 如果未运行则启动服务
sudo systemctl start sshd
sudo systemctl enable sshd

2. 创建专用SFTP用户组

# 创建sftp用户组
sudo groupadd sftpusers

# 创建用户并设置密码
sudo useradd -G sftpusers -s /bin/false sftpuser1
sudo passwd sftpuser1

3. 配置SSH服务

编辑/etc/ssh/sshd_config文件：

# 注释掉原有Subsystem配置
#Subsystem sftp /usr/lib/openssh/sftp-server

# 添加以下配置
Subsystem sftp internal-sftp
Match Group sftpusers
    ChrootDirectory /var/sftp
    ForceCommand internal-sftp
    AllowTcpForwarding no
    X11Forwarding no

4. 设置目录权限

# 创建根目录
sudo mkdir -p /var/sftp

# 设置所有权
sudo chown root:root /var/sftp
sudo chmod 755 /var/sftp

# 为用户创建个人目录
sudo mkdir /var/sftp/sftpuser1
sudo chown sftpuser1:sftpusers /var/sftp/sftpuser1
sudo chmod 700 /var/sftp/sftpuser1

5. 重启SSH服务

sudo systemctl restart sshd

四、安全加固措施

1. 密钥认证

推荐使用SSH密钥替代密码认证：

# 在客户端生成密钥
ssh-keygen -t rsa

# 将公钥上传到服务器
ssh-copy-id sftpuser1@your_server_ip

2. IP限制

在sshd_config中添加：

AllowGroups sftpusers
AllowUsers sftpuser1@your_client_ip

3. 日志监控

# 查看SFTP登录日志
journalctl -u sshd | grep sftp

五、常见问题排查

六、最佳实践建议

• 为每个SFTP用户创建独立账户
• 定期轮换用户密码或密钥
• 限制用户只能访问自己的目录(chroot)
• 启用详细日志记录并定期审计