欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  科技

Linux下为不使用SSH的用户提供SFTP服务环境

程序员文章站 2023-09-04 21:10:12
这篇文章主要介绍了Linux下为不使用SSH的用户提供SFTP服务环境的方法,一般来说SFTP协议的使用大多在提供SSH的软件内进行,而本文则介绍在非SSH环境下的方法,需要的朋友可以参考下... 16-01-14...

sftp
sftp是secure file transfer protocol的缩写,安全文件传送协议。可以为传输文件提供一种安全的加密方法。sftp 与 ftp 有着几乎一样的语法和功能。sftp 为 ssh的一部分,是一种传输档案至 blogger 伺服器的安全方式。其实在ssh软件包中,已经包含了一个叫作sftp(secure file transfer protocol)的安全文件传输子系统,sftp本身没有单独的守护进程,它必须使用sshd守护进程(端口号默认是22)来完成相应的连接操作,所以从某种意义上来说,sftp并不像一个服务器程序,而更像是一个客户端程序。sftp同样是使用加密传输认证信息和传输的数据,所以,使用sftp是非常安全的。但是,由于这种传输方式使用了加密/解密技术,所以传输效率比普通的ftp要低得多,如果您对网络安全性要求更高时,可以使用sftp代替ftp。

ps:ftp与sftp的区别
ftp是文件传输协议。在网站上,如果你想把文件和人共享,最便捷的方式莫过于把文件上传到ftp服务器上,其他人通过ftp客户端程序来下载所需要的文件。
ftp进行文件传输需要通过端口进行。一般所需端口为:
1.控制链路—tcp端口21。控制器端。用于发送指令给服务器以及等待服务器响应。
2.数据链路---tcp端口20。数据传输端口。用来建立数据传输通道的。主要用来从客户向服务器发送一个文件、从服务器向客户发送一个文件、从服务器向客户发送文件或目录列表。
 
ftp为了适应不同的网络环境,支持主动连接和被动连接两种模式。这两种模式都主要针对数据链路进行的,跟控制链路无关。
 
ftp的安全隐患:
一、ftp服务器软件漏洞。
二、明文口令。
三、ftp旗标。
四、通过ftp服务器进行端口扫描。
五、数据劫持。
 
ftp的安全策略:
一、使用较比安全的系统和ftp服务软件。
二、使用密文传输用户名和口令。
三、更改服务软件的旗标。
四、加强协议安全性。
 
为非ssh用户配置sftp环境
sftp是secure file transfer protocol的缩写,是安全文件传送协议。可以为传输文件提供一种安全的加密方法。跟ftp几乎语法功能一样。

步骤:1 创建组

复制代码
代码如下:

[root@localhost ~]# groupadd sftp_users

步骤:2 分配附属组(sftp_users)给用户

如果用户在系统上不存在,使用以下命令创建( lctt 译注:这里给用户指定了一个不能登录的 shell,以防止通过 ssh 登录):

复制代码
代码如下:

[root@localhost ~]# useradd -g sftp_users -s /sbin/nologin jack
[root@localhost ~]# passwd jack

对于已经存在的用户,使用以下usermod命令进行修改:

复制代码
代码如下:

[root@localhost ~]# usermod –g sftp_users -s /sbin/nologin jack

注意:如果你想要修改用户的默认家目录,那么可以在useradd和usermod命令中使用‘-d’选项,并设置合适的权限。

步骤:3 现在编辑配置文件 “/etc/ssh/sshd_config”

复制代码
代码如下:

# vi /etc/ssh/sshd_config
#comment out the below line and add a line like below
#subsystem sftp /usr/libexec/openssh/sftp-server
subsystem sftp internal-sftp
# add below lines at the end of file
match group sftp_users
x11forwarding no
allowtcpforwarding no
chrootdirectory %h
forcecommand internal-sftp

此处:

match group sftp_users – 该参数指定以下的行将仅仅匹配sftp_users组中的用户
chrootdirectory %h – 该参数指定用户验证后用于chroot环境的路径(默认的用户家目录)。对于用户 jack,该路径就是/home/jack。
forcecommand internal-sftp – 该参数强制执行内部sftp,并忽略任何~/.ssh/rc文件中的命令。
重启ssh服务

复制代码
代码如下:

# service sshd restart

步骤:4 设置权限:

复制代码
代码如下:

[root@localhost ~]# chmod 755 /home/jack
[root@localhost ~]# chown root /home/jack
[root@localhost ~]# chgrp -r sftp_users /home/jack

如果你想要允许jack用户上传文件,那么创建一个上传文件夹,设置权限如下:

复制代码
代码如下:

[root@localhost jack]# mkdir /home/jack/upload
[root@localhost jack]# chown jack. /home/jack upload/

步骤:5 现在尝试访问系统并进行测试

尝试通过ssh访问系统
Linux下为不使用SSH的用户提供SFTP服务环境

正如下图所示,用户jack通过sftp登录,而且因为chroot环境不能切换目录。
Linux下为不使用SSH的用户提供SFTP服务环境

现在进行上传和下载测试,如下图:
Linux下为不使用SSH的用户提供SFTP服务环境

正如上图所示,jack用户的上传下载功能都工作得很好。