SFTP（SSH File Transfer Protocol）是一种基于SSH的安全文件传输协议，通过加密传输数据和身份验证，确保文件传输过程中的安全性和完整性，相较于传统的FTP协议，SFTP避免了明文传输密码和数据的风险，因此在Linux系统中配置SFTP服务器成为企业级文件管理的常见需求，本文将详细介绍Linux环境下SFTP服务器的完整配置流程，包括环境准备、用户权限管理、安全加固及测试验证等关键步骤。
环境准备：安装与启动SSH服务
SFTP服务通常依赖于OpenSSH服务器实现,因此在配置前需确保系统已安装OpenSSH软件包，以主流发行版Ubuntu/Debian和CentOS/RHEL为例，安装命令略有差异：
-
Ubuntu/Debian系统：
更新软件包列表后，安装openssh-server：sudo apt update && sudo apt install openssh-server -y
-
CentOS/RHEL系统：
使用yum或dnf安装openssh-server：sudo yum install openssh-server -y # CentOS 7及以下 sudo dnf install openssh-server -y # CentOS 8及以上
安装完成后,启动SSH服务并设置开机自启：
sudo systemctl start sshd sudo systemctl enable sshd
通过systemctl status sshd检查服务状态，确保显示“active (running)”，若防火墙启用，需开放SSH默认端口22（或自定义端口）：
# Ubuntu/Debian (ufw) sudo ufw allow 22/tcp # CentOS/RHEL (firewalld) sudo firewall-cmd --permanent --add-port=22/tcp sudo firewall-cmd --reload
用户配置：创建专用SFTP账户
为避免系统用户直接通过SFTP访问服务器,建议创建独立的SFTP用户组，并将需要SFTP访问的用户加入该组，假设创建名为sftpusers的用户组，并添加一个示例用户sftpuser：
-
创建用户组与用户：
sudo groupadd sftpusers sudo useradd -m -s /sbin/nologin -G sftpusers sftpuser
参数说明：
-m创建用户主目录，-s /sbin/nologin禁止用户通过SSH登录 shell（仅允许SFTP），-G sftpusers将用户加入SFTP用户组。 -
设置用户密码：
sudo passwd sftpuser
按提示输入密码并确认,密码需符合系统安全策略（如长度、复杂度要求）。
权限配置：限制SFTP用户访问目录
SFTP用户默认只能访问自己的主目录,但实际业务中可能需要限制其访问特定目录（如/data/sftp），此时需通过修改SSH配置文件和目录权限实现隔离。
- 修改SSH配置文件：
编辑/etc/ssh/sshd_config，确保以下配置正确（需取消注释或修改）：Subsystem sftp internal-sftp Match Group sftpusers ChrootDirectory /data/sftp/%u ForceCommand internal-sftp AllowTcpForwarding no X11Forwarding no
配置说明：
Subsystem sftp internal-sftp：指定SFTP子系统为内部实现。Match Group sftpusers：针对sftpusers组的用户生效。ChrootDirectory /data/sftp/%u：将用户限制在/data/sftp/用户名目录下（%u为用户名变量）。ForceCommand internal-sftp：强制用户仅执行SFTP命令，禁用SSH其他功能。AllowTcpForwarding no和X11Forwarding no：禁止端口转发和X11转发，增强安全性。
-
创建SFTP根目录并设置权限：
sudo mkdir -p /data/sftp/sftpuser sudo chown root:root /data/sftp/sftpuser # 根目录属主必须为root sudo chmod 755 /data/sftp/sftpuser # 根目录权限755，确保用户可访问
若用户需要上传文件,可在其目录下创建子目录并设置权限：
sudo mkdir /data/sftp/sftpuser/upload sudo chown sftpuser:sftpusers /data/sftp/sftpuser/upload sudo chmod 775 /data/sftp/sftpuser/upload
-
重启SSH服务使配置生效：
sudo systemctl restart sshd
安全加固：提升SFTP服务器安全性
为防止未授权访问和恶意攻击,需对SFTP服务器进行安全加固，主要包括以下措施：
-
禁用密码登录，启用密钥认证：
在/etc/ssh/sshd_config中修改以下配置：PasswordAuthentication no PubkeyAuthentication yes
然后生成SSH密钥对（客户端操作），并将公钥上传到服务器的
~/.ssh/authorized_keys文件中，设置权限为600：
sudo mkdir -p /home/sftpuser/.ssh sudo chmod 700 /home/sftpuser/.ssh sudo touch /home/sftpuser/.ssh/authorized_keys sudo chmod 600 /home/sftpuser/.ssh/authorized_keys
完成后重启SSH服务,用户需通过密钥对登录，避免密码暴力破解。
-
限制登录IP（可选）：
在/etc/ssh/sshd_config中添加AllowUsers或AllowHosts指令，仅允许特定IP或用户访问：AllowUsers sftpuser@192.168.1.100 # 仅允许该IP的sftpuser登录
-
定期审计日志：
SFTP日志记录在/var/log/auth.log（Ubuntu/Debian）或/var/log/secure（CentOS/RHEL），可通过以下命令查看登录记录：grep "sftpuser" /var/log/auth.log
设置日志轮转（
logrotate）避免日志文件过大，保留近30天日志供审计。
测试与验证：确保配置生效
-
命令行测试：
使用sftp命令连接服务器，输入密钥密码或私钥密码：sftp sftpuser@服务器IP
成功登录后,可通过
ls、put、get等命令测试文件传输，验证目录权限是否正确（如无法切换到上级目录）。 -
图形化工具测试：
使用FileZilla、WinSCP等工具，选择SFTP协议，输入服务器IP、用户名和密钥，确认文件传输功能正常。
Linux SFTP服务器配置需兼顾功能性与安全性，核心步骤包括安装SSH服务、创建专用用户、配置目录权限及加固安全措施，通过限制用户访问范围、启用密钥认证、定期审计日志等操作，可有效降低安全风险，实际部署中，可根据业务需求调整目录结构和访问策略，确保文件传输既高效又安全。
