Sftp服务器搭建和限制用户目录

Sftp服务器搭建和限制用户目录

概述：公司对外客户上传账户清单，以前每个月都是用FTP上传，出于安全考虑改用sftp上传但又要限制用户根目录，为此在网上查了很多资料，在此记录下自己心得。

目录：

• 什么sftp服务器
• 怎么搭建sftp服务器
• 怎么限制用户目录
• 常见错误

什么sftp服务器

sftp是Secure File Transfer Protocol的缩写，安全文件传送协议。可以为传输文件提供一种安全的加密方法。sftp 与 ftp 有着几乎一样的语法和功能。SFTP 为 SSH的一部份，是一种传输档案至 Blogger 伺服器的安全方式。本身没有守护进程，是包含在ssh中，端口也是22.

怎么搭建sftp服务器

在主流linux系统版本当中，默认都有安装openssl和openssh包,都有ssh命令，也就是说默认安装好了SFTP服务器和sftp命令。

没有的安装，安装方法很简单，在centos/redhat等，直接安装：

[[email protected] ~]# yum -y install openssl

[[email protected] ~]# yum -y install openssh-server

[[email protected] ~]# yum -y install openssh-clients

有安装但版本太低, 想sftp服务用户只能访问特定的文件目录,版本需要4.8以上:

以下源为码升级方法，是以centos5.11为例。

0. 先查看当前安装的版本

用 ssh -V 命令查看ssh版本 和 用openssl version 命令查看openssl版本

[[email protected] ~]# ssh  -V

OpenSSH_4.3p2, OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008

[[email protected] ~]# openssl version

OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008

1.官网下载新版的源码包

openssh: http://www.openssh.com/portable.html 这里, 官网上找到的下载有两种, 一种是直接下载OpenBSD的(附带openssh, 显然不是我等需要的), 另外一种就是这种portable版的

openssl:  http://www.openssl.org/source/

2. 安装openssl

一定要先安装openssl, 一定记得加上--shared选项, 否则openssh编译的时候会找不到新安装的openssl的library, 会报错: openssl的 header和library版本不匹配

[[email protected] ~]#tar -zxvf openssl-1.0.1j.tar.gz

[[email protected] ~]# cd  cd openssl-1.0.1j

[[email protected] openssl-1.0.1j]#  ./config --prefix=/usr –shared

[[email protected] openssl-1.0.1j]#  make
[[email protected] openssl-1.0.1j]#  make test（这一步很重要哦！是进行 SSL 加密协议的完整测试，如果出现错误就要一定先找出哪里的原因，否则一味继续可能导致最终 SSH 不能使用，后果很严重哦！）
[[email protected] openssl-1.0.1j]#  make install

完毕后查看openssl版本安装是否正确

[[email protected] openssl-1.0.1j]#  openssl version

OpenSSL 1.0.1j 15 Oct 2014

3. 安装openssh

[[email protected] ]# cd ../openssh-5.3p1

[[email protected] ]# tar zxvf openssh-5.3p1.tar.gz

[[email protected] ]# cd ../openssh-5.3p1

[[email protected] openssh-5.3p1]# ./configure --prefix=/usr --with-pam --with-zlib --with-md5-passwords
 [[email protected] openssh-5.3p1]#     make
 [[email protected] openssh-5.3p1]#    make install

完毕后查看openssh版本安装是否正确

[[email protected] openssl-1.0.1j]#  ssh  -V

OpenSSH_5.3p1, OpenSSL 1.0.1j 15 Oct 2014

这种安装会把sshd的配置文件放在/usr/etc/sshd_config

4．生成/etc/init.d/sshd服务管理脚本

进入ssh解压目录

[[email protected] openssh-5.3p1]#  #cd /contrib/redhat

[[email protected] redhat]#  cp sshd.init /etc/init.d/sshd

[[email protected] redhat]#  chmod +x /etc/init.d/sshd

[[email protected] redhat] #  chkconfig –add sshd

最后，启动 SSH 服务使修改生效：
 [[email protected] redhat] # /etc/init.d/sshd restart

怎么限制用户目录

1.新增用户,限制用户只能通过sftp访问

2.限制用户通过sftp登录进来时只能进入主目录或某一个目录，

如果是用yum和rpm包安装的修改/etc/ssh/sshd_config文件，我这是个源码安装的且为—perfix=/usr,所以要修改/usr/etc/ssh/sshd_config.

[[email protected] home]# vim /usr/etc/ssh/sshd_config

#Subsystem      sftp    /usr/libexec/sftp-server

Subsystem       sftp    internal-sftp

# Example of overriding settings on a per-user basis

#Match User anoncvs

#       X11Forwarding no

#       AllowTcpForwarding no

#       ForceCommand cvs server

Match User delcom03

X11Forwarding no

ChrootDirectory /home/delcom03

#       AllowTcpForwarding no

ForceCommand  internal-sftp

3.测试访问

4.发现连接不上,查看日志

解决方法:

目录权限设置要遵循2点：

ChrootDirectory设置的目录权限及其所有的上级文件夹权限，属主和属组必须是root；

ChrootDirectory设置的目录权限及其所有的上级文件夹权限，只有属主能拥有写权限，权限最大设置只能是755。

如果不能遵循以上2点，即使是该目录仅属于某个用户，也可能会影响到所有的SFTP用户。

[[email protected]  home]# ll

drwxr--- --- 3  delcom03  delcom03 4096 Dec 10 16:42 delcom03

[[email protected]  home]# chown root root

[[email protected]  home]# chmod 755 delcom

[[email protected]  home]# ll

drwxr-xr-x 3  root   delcom03 4096 Dec 10 16:42 delcom03

这里可以看出delcom03账户sftp登录后没有删除和写权限，下面就来解决。

[[email protected]  home]# mkdir sftp &&chown delcom03 sftp

[[email protected]  home]# ll delcom03/

drwxr-xr-x 3  delcom03  root  4096 Dec 10 18:58 sftp  上传文件到sftp目录，就有写权限了

然后在测试通过

[[email protected]  home]# sftp -oport=22 [email protected]

Connecting to 192.168.1.67

[email protected]‘s password:

sftp>

sftp> cd  /

sftp> pwd

Remote working directory: /

sftp> ls

sftp

sftp> ls /

/sftp

sftp> cd sftp

sftp> pwd

Remote working directory: /sftp

sftp> lls

test.txt

sftp> put  test.txt

Uploading  test.txt  to /sftp/test.txt

Test.txt                       100%  31KB  31.4KB/s   00:00

可以看到用户delcom03可以上传文件到根/sftp目录，且已经限制用户在家目录,同时该用户也不能登录该机器。

常见错误

Couldn‘t read packet: Connection reset by peer

主要是权限问题，上面连接测试时有提到。