在香港站群服务器上配置安全的 SFTP（Secure File Transfer Protocol） 是保护数据传输安全的重要步骤。

1. 理解 SFTP 的工作原理

• SFTP 是基于 SSH（Secure Shell）协议的文件传输协议，提供加密的数据传输和安全认证。
• 它使用 端口 22（默认情况下与 SSH 共用），可以替代 FTP 来保护文件传输。

2. 配置安全 SFTP 的步骤

2.1 安装 SFTP 服务

安装 OpenSSH

大多数 Linux 站群服务器默认已安装 OpenSSH。如果未安装，可以使用以下命令安装：

• Ubuntu/Debian：

  bash

  复制

  sudo apt update
  sudo apt install openssh-server
  

• CentOS/RHEL：

  bash

  复制

  sudo yum install openssh-server
  

检查 SSH 服务是否运行

• 启动并检查 SSH 服务：

  bash

  复制

  sudo systemctl enable ssh
  sudo systemctl start ssh
  sudo systemctl status ssh
  

• 确保 端口 22 可用：

  bash

  复制

  netstat -tulnp | grep 22
  

2.2 创建 SFTP 用户

1. 创建一个用户组专用于 SFTP：

   bash

   复制

   sudo groupadd sftpusers
   

2. 创建新用户并添加到 SFTP 用户组：

   bash

   复制

   sudo useradd -m -s /sbin/nologin -G sftpusers sftpuser
   

3. 设置用户密码：

   bash

   复制

   sudo passwd sftpuser
   

4. 限制用户的访问目录（可选）：

   • 创建 SFTP 用户的主目录：
     bash

     复制

     sudo mkdir -p /home/sftpuser/uploads
     

   • 修改目录权限：
     bash

     复制

     sudo chown root:root /home/sftpuser
     sudo chmod 755 /home/sftpuser
     sudo chown sftpuser:sftpusers /home/sftpuser/uploads
     

2.3 配置 SSH 限制 SFTP 访问

编辑 SSH 配置文件 /etc/ssh/sshd_config，限制 SFTP 用户只能访问特定目录并增强安全性：

1. 打开 SSH 配置文件：

   bash

   复制

   sudo nano /etc/ssh/sshd_config
   

2. 添加以下内容（位于文件末尾）：

   plaintext

   复制

   Match Group sftpusers
        ChrootDirectory /home/%u
        ForceCommand internal-sftp
        AllowTCPForwarding no
        X11Forwarding no
   

   • ChrootDirectory：将 SFTP 用户限制在其主目录中。
   • ForceCommand internal-sftp：强制用户只能使用 SFTP。
   • AllowTCPForwarding no 和 X11Forwarding no：禁用其他 SSH 功能。

3. 保存并重启 SSH 服务：

   bash

   复制

   sudo systemctl restart ssh
   

3. 安全优化技巧

3.1 禁用密码登录，启用密钥认证

使用 SSH 密钥认证代替密码登录，可以防止暴力破解。

1. 生成 SSH 密钥（在客户端生成密钥）：

   bash

   复制

   ssh-keygen -t rsa -b 4096
   

   • 默认生成 id_rsa 和 id_rsa.pub 两个文件。

2. 上传公钥到服务器：

   bash

   复制

   ssh-copy-id -i ~/.ssh/id_rsa.pub sftpuser@服务器IP
   

3. 禁用密码登录：

   • 编辑 /etc/ssh/sshd_config：
     plaintext

     复制

     PasswordAuthentication no
     

   • 重启 SSH 服务：
     bash

     复制

     sudo systemctl restart ssh
     

3.2 更改默认 SSH 端口

将 SSH 服务从默认端口（22）更改为其他端口可以降低被扫描和攻击的概率。

1. 编辑 SSH 配置文件 /etc/ssh/sshd_config：

   plaintext

   复制

   Port 2222
   

2. 重启 SSH 服务：

   bash

   复制

   sudo systemctl restart ssh
   

3. 更新防火墙规则：

   bash

   复制

   sudo ufw allow 2222/tcp
   sudo ufw reload
   

3.3 限制登录 IP

仅允许特定 IP 地址或网段访问 SFTP 服务。

1. 编辑 /etc/hosts.allow：

   plaintext

   复制

   sshd: 192.168.1.0/24
   

2. 编辑 /etc/hosts.deny：

   plaintext

   复制

   sshd: ALL
   

3.4 设置上传文件权限

防止 SFTP 用户上传的文件被其他用户访问。

1. 创建上传目录：

   bash

   复制

   sudo mkdir -p /home/sftpuser/uploads
   

2. 修改权限：

   bash

   复制

   sudo chown sftpuser:sftpusers /home/sftpuser/uploads
   sudo chmod 700 /home/sftpuser/uploads
   

3.5 启用日志记录

启用详细日志以便监控 SFTP 活动：

1. 编辑 /etc/ssh/sshd_config，设置日志级别：

   plaintext

   复制

   LogLevel VERBOSE
   

2. 日志文件通常位于 /var/log/auth.log 或 /var/log/secure：

   bash

   复制

   tail -f /var/log/auth.log
   

4. 常见问题与解决方法

5. 测试 SFTP 连接

在客户端使用以下命令测试 SFTP 连接：

sftp -P 2222 sftpuser@服务器IP

• 命令说明：
  • -P 2222：指定自定义端口（如果更改了默认端口）。
  • 成功连接后，可以使用 ls、get、put 等命令操作文件。

6. 总结与推荐配置

推荐配置清单：

1. 限制 SFTP 用户目录：使用 ChrootDirectory 限制访问范围。
2. 启用密钥认证：提高安全性，禁用密码登录。
3. 更改 SSH 端口：减少被扫描和攻击的可能性。
4. 限制登录 IP：仅允许特定 IP 访问服务器。
5. 日志监控：启用详细日志，定期检查登录活动。

通过上述步骤，您可以在香港站群服务器上配置一个安全、高效的 SFTP 环境，确保数据传输的安全性和稳定性。