OpenSSH的SFTP服务器设置 | 菜包子

OpenSSH版本6.1p1,操作系统Fedora 18。

1 基本设置

很简单,用文本编辑器打开/etc/ssh/sshd_config,寻找下面这一行文字:

Subsystem       sftp    /usr/libexec/openssh/sftp-server

如果这行文字存在且没有被注释掉,那么SFTP已经开启。所有可使用ssh的用户都可使用SFTP。

但是这种方式有一个缺陷,就是用户在SFTP软件里面可以cd /从而看到系统所有文件。

2 进阶设置

2.1 把用户的SFTP操作记录到日志文件中

  1. 用文本编辑器打开/etc/ssh/sshd_config,把Subsystem那一行修改为下面样子:
    Subsystem       sftp    /usr/libexec/openssh/sftp-server -l INFO
  2. 用文本编辑器打开/etc/rsyslogd.conf,增加下面一行:
    # Log sftp-server in a separate file
    :programname, isequal, "sftp-server" /var/log/sftp.log
  3. 重启sshd服务和rsyslog服务:
    # systemctl restart sshd.service
    # systemctl restart rsyslog.service
  4. 可在/var/log/sftp.log中查看用户登录及文件操作信息。
  5. 设置logrotate,避免日志文件过大。方法是创建/etc/logrotate.d/sftp文件,输入下面内容,保存:
    /var/log/sftp.log
    {
        postrotate
            /bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
        endscript
    }

2.2 把SFTP用户限定到特定目录中

前面我们知道,用户使用客户端成功连接SFTP服务器后,在客户端里可以切换到/目录,并查看所有有权查看的内容。如果想把用户限定在特定目录里,可以遵循以下步骤:

  1. ssh账户就是系统账户,把用户限制到某特定目录是通过ssh的chroot功能实现的。如果我们想让用户可以ssh登录到shell界面,必须在chroot目录下提供支持交互登陆所必须的一些文件。换句话说,我们做不到既能限制用户的SFTP访问目录,还能ssh正常登录并使用系统所有命令。因此必须创建一个只用于SFTP访问的用户sftp:
    # useradd -m -s /sbin/nologin sftp
  2. 把现有用户加入sftp的用户组中,以便访问其上传的文件。以用户john为例:
    # usermod -aG sftp john
  3. 修改sftp家目录权限,让sftp用户组的所有用户都可访问其中文件:
    # chmod 770 /home/sftp/
  4. 修改sshd配置文件/etc/ssh/sshd_config,找到Subsystem一行,改为下面的样子(注意里面把2.1节的“/usr/libexec/openssh/sftp-server”换成了“internal-sftp”,这是为了避免chroot后找不到sftp-server这个文件,无法正常使用SFTP服务器的情况。不过实际测试下来,在Fedora 18环境下,这一行不修改也可以正常使用):
    Subsystem       sftp    internal-sftp -l INFO

    然后添加下面内容:

    Match User sftp
            X11Forwarding no
            AllowTcpForwarding no
            ForceCommand internal-sftp -l INFO
            ChrootDirectory /home

    由于chroot的目录及其父目录所有者必须是root,且对root外其他用户不可写,简单起见我们把它设置为/home(上面ChrootDirectory设置项)。

  5. 重启sshd服务,使设置生效:
    # systemctl restart sshd.service

需要注意的是,设置了ChrootDirectory之后,系统无法记录SFTP的访问信息。具体到上面例子,使用sftp这个用户登录及操作文件的信息将不会被记录在服务器日志中。解决方法如下:

  1. 在chroot目录下创建dev目录:
    # mkdir /home/dev
  2. 用文本编辑器打开/etc/rsyslog.conf,添加下面内容:
    # Create an additional socket for some of the sshd chrooted users.
    $AddUnixListenSocket /home/dev/log
    
    # Log internal-sftp in a separate file
    :programname, isequal, "internal-sftp" /var/log/sftp.log
  3. 注意如果系统开启了SELinux,$AddUnixListenSocket这一行设置无法生效。暂不想深入研究SELinux,在这里我们简单地禁用它。编辑/etc/selinux/config文件,把“SELINUX=”一行改为下面内容,然后重启系统:
    SELINUX=disabled

    今后再使用sftp这个用户访问SFTP服务器,/var/log/sftp.log就会有相关记录(设置logrotate见2.1 把用户的SFTP操作记录到日志文件中 )。

3 主要参考文档

3.1 CentOS 6.0的sftp配置

3.2 Secure chroot() remote file access via SFTP and SSH

3.3 Fedora 17的System Administrator's Guide

(737)

分类: Linux | 标签: OpenSSH, SFTP | | Permalink

本文由 黑白世界4648 第一时间收藏到GET,原文来自 → caibaoz.com

「GetParty」

关注微信号,推送好文章

微信中长按图片即可关注

更多精选文章

评论
微博一键登入