配置一个安全的 SFTP（Secure File Transfer Protocol）服务器是保护文件传输安全的重要步骤。以下是从安装到强化安全的完整指南，适用于 Linux 系统（如 CentOS、Ubuntu、Debian 等）。

1. 什么是 SFTP？

SFTP 是基于 SSH 协议的文件传输方式，提供了以下优势：

• 加密：所有数据（包括文件和认证信息）都通过加密通道传输。
• 安全性：基于 SSH 的用户认证和权限控制。
• 易用性：支持常见的 FTP 客户端（如 FileZilla、WinSCP）。

2. 配置 SFTP 服务器的步骤

2.1 安装 OpenSSH 服务器

SFTP 是 SSH 的一部分，大部分 Linux 系统默认安装了 OpenSSH。

检查是否已安装

bash

复制

ssh -V

安装 OpenSSH（如果未安装）

• Ubuntu/Debian：
• bash
• 复制
• sudo apt update sudo apt install openssh-server -y
• CentOS/RHEL：
• bash
• 复制
• sudo yum install openssh-server -y

启动并启用服务

bash

复制

sudo systemctl start sshd
sudo systemctl enable sshd

2.2 添加 SFTP 用户

为 SFTP 创建一个专用用户或用户组。

创建用户组（可选）

bash

复制

sudo groupadd sftpusers

创建新用户并分配到组

bash

复制

sudo useradd -m -g sftpusers -s /bin/false sftpuser

• -s /bin/false：禁止用户通过 SSH 登录，仅允许 SFTP。
• -g sftpusers：将用户添加到 sftpusers 组。

设置用户密码

bash

复制

sudo passwd sftpuser

2.3 配置 SSH 服务以支持 SFTP

修改 SSH 配置文件 /etc/ssh/sshd_config，限制 SFTP 用户的权限并启用安全模式。

打开 SSH 配置文件

bash

复制

sudo nano /etc/ssh/sshd_config

修改配置

在文件末尾添加以下内容：

plaintext

复制

# 启用 SFTP 子系统
Subsystem sftp internal-sftp

# 限制 sftpusers 组的用户仅能使用 SFTP
Match Group sftpusers
    ChrootDirectory /home/%u
    ForceCommand internal-sftp
    X11Forwarding no
    AllowTcpForwarding no

• ChrootDirectory /home/%u：将用户限制在其主目录。
• ForceCommand internal-sftp：强制用户只能使用 SFTP。
• X11Forwarding no 和 AllowTcpForwarding no：禁用其他 SSH 功能，增强安全性。

重启 SSH 服务

bash

复制

sudo systemctl restart sshd

2.4 配置用户目录权限

为了满足 ChrootDirectory 的要求，主目录必须由 root 拥有。

调整用户目录权限

bash

复制

sudo chown root:root /home/sftpuser
sudo mkdir /home/sftpuser/uploads
sudo chown sftpuser:sftpusers /home/sftpuser/uploads

• 主目录 /home/sftpuser 必须由 root 拥有。
• 允许用户写入的子目录为 /home/sftpuser/uploads。

3. 强化 SFTP 服务器的安全性

3.1 禁用密码登录（推荐使用 SSH 密钥）

密码认证较容易被暴力破解，建议使用 SSH 公钥认证。

生成 SSH 密钥对

在客户端机器上运行：

bash

复制

ssh-keygen -t rsa -b 4096

默认生成 id_rsa（私钥）和 id_rsa.pub（公钥）。

上传公钥到服务器

将公钥上传到用户的 .ssh 目录：

bash

复制

sudo mkdir /home/sftpuser/.ssh
sudo nano /home/sftpuser/.ssh/authorized_keys

将 id_rsa.pub 的内容粘贴到 authorized_keys 文件中。

设置权限：

bash

复制

sudo chown -R sftpuser:sftpusers /home/sftpuser/.ssh
sudo chmod 700 /home/sftpuser/.ssh
sudo chmod 600 /home/sftpuser/.ssh/authorized_keys

禁用密码登录

编辑 /etc/ssh/sshd_config，修改以下内容：

plaintext

复制

PasswordAuthentication no
PubkeyAuthentication yes

重启 SSH 服务：

bash

复制

sudo systemctl restart sshd

3.2 限制登录 IP

如果 SFTP 用户只需从特定 IP 登录，可以通过防火墙限制。

使用 UFW（Ubuntu/Debian）

1. 允许特定 IP 访问：
2. bash
3. 复制
4. sudo ufw allow from <client_ip> to any port 22
5. 启用防火墙：
6. bash
7. 复制
8. sudo ufw enable

使用 iptables

bash

复制

sudo iptables -A INPUT -p tcp --dport 22 -s <client_ip> -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -j DROP

3.3 配置 Fail2ban 防暴力破解

Fail2ban 可以自动检测并封禁多次失败登录的 IP。

安装 Fail2ban

• Ubuntu/Debian：
• bash
• 复制
• sudo apt install fail2ban -y
• CentOS/RHEL：
• bash
• 复制
• sudo yum install epel-release -y sudo yum install fail2ban -y

启用 SSH 保护规则

编辑 /etc/fail2ban/jail.local：

plaintext

复制

[sshd]
enabled = true
port = 22
filter = sshd
logpath = /var/log/auth.log  # Ubuntu/Debian
# logpath = /var/log/secure  # CentOS/RHEL
maxretry = 5
bantime = 3600

重启 Fail2ban：

bash

复制

sudo systemctl restart fail2ban

3.4 启用日志审计

监控 SFTP 活动，以便及时发现异常。

启用详细日志

编辑 /etc/ssh/sshd_config，设置日志级别：

plaintext

复制

LogLevel VERBOSE

重启 SSH：

bash

复制

sudo systemctl restart sshd

查看 SFTP 日志

日志通常存储在 /var/log/auth.log（Ubuntu/Debian）或 /var/log/secure（CentOS/RHEL）：

bash

复制

sudo tail -f /var/log/auth.log

3.5 定期更新系统

保持系统和 OpenSSH 的最新版本，修复已知漏洞：

bash

复制

sudo apt update && sudo apt upgrade -y   # Ubuntu/Debian
sudo yum update -y                       # CentOS/RHEL

4. 测试 SFTP 服务器

4.1 测试 SFTP 功能

在客户端测试 SFTP 连接：

bash

复制

sftp sftpuser@<server_ip>

上传和下载文件：

plaintext

复制

put localfile.txt
get remotefile.txt

4.2 验证安全性

1. 尝试通过 SSH 登录（应被拒绝）。
2. 测试从未授权 IP 登录（应被阻止）。
3. 检查日志文件，确认无异常活动。

5. 总结

通过以上步骤，您可以配置一个高效且安全的 SFTP 服务器，满足文件传输和数据保护的需求。