ubuntu搭建sftp服务
sftp直接使用系统的sshd服务,无需额外安装软件,配置也比较简单。
一、添加用户
添加一个sftp用户,不设置家目录,指定不能登录的shell,然后设置登录密码
useradd -M -s /sbin/nologin mysftp
passwd mysftp
二、新建一个工作目录
为sftp选择/新建一个工作目录,目录的所有上级目录属主必须为root,且不能为777的权限
mkdir -p /mnt/sftp/mysftp
chown root:root /mnt/sftp
chown 755 /mnt/sftp
chown mysftp:mysftp /mnt/ftp/mysftp
目录/mnt/sftp用于给用户进行chroot,而mysftp真正有权限写的目录是/mnt/sftp/mysftp,由于Linux的安全机制此处看起来有一些复杂
三、修改sshd配置文件
修改最好前先备份一下配置文件
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
将原有的sftp配置注释掉,然后在配置文件的最后加上下面的部分
#在配置文件中找到这一行注释掉
#Subsystem sftp /usr/lib/openssh/sftp-server
#文件最后加上下面这几行
Subsystem sftp internal-sftp
Match User mysftp
ChrootDirectory /mnt/ftp
AllowTcpForwarding no
X11Forwarding no
ForceCommand internal-sftp
四、重启sshd生效
systemctl restart sshd
五、遇到的一些问题和Tips
-
sftp登录不成功,如何排查?
查看检查sshd的日志,根据报错修复。根据sshd版本不同,日志可能存在下面几个文件中。
grep sshd /var/log/messages less /var/log/journal/sshd.service.log less /var/log/auth.log
-
由于sftp使用的sshd服务,默认使用22端口,想要换一个端口?
可以在sshd_config配置文件中增加一个端口监听,让sshd同时监听多个端口。记得将Port=22这行注释掉哦,这样就不会影响原来的ssh服务。
Port 22 #将原有的这一行注释取消,下面另外加一行 Port 38812
-
如果登录的时候还没有提示输入密码,就直接提示证书认证失败了
在sshd_config中针对mysftp用户增加一行配置(步骤三),允许使用密码登陆
PasswordAuthentication yes
-
上传的文件权限变少了?
原来上传的文件权限是755,上传后变成了750,可以通过设置sftp的umask来解决,增加一个-u参数指定,如下
Subsystem sftp internal-sftp -u 000
-
日志报错 bad ownership or modes for chroot directory
检查为sftp设置的工作目录(ChrootDirectory),目录本身及所有上级目录属主必须是root,所有不能有777的权限