CentOS配置SFTP帐户与服务

查看SSH版本

确保openssh版本大于4.8p1。

ssh -V

创建用户登入目录

mkdir -p /opt/file/sftpuser

创建SFTP用户组

groupadd sftp

创建SFTP用户

# -g 指定用户所属群组
# -d 指定用户登入目录
# -s 禁止用户登入系统
# -M 不建立登入目录
useradd -g sftp -d /opt/file/sftpuser -s /sbin/nologin -M sftpuser

设置用户密码

passwd sftpuser
echo "userpass" | passwd --stdin sftpuser

修改SSH配置文件

mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
cp /etc/ssh/sshd_config.bak /etc/ssh/sshd_config
vi /etc/ssh/sshd_config

# 限制用户认证时限
LoginGraceTime 2m
# 是否连接前权限检查
StrictModes yes
# 最大认证次数
MaxAuthTries 6
# 最大保持连接
MaxSessions 10
# 最大保持未认证连接
MaxStartups 10:30:100

# Subsystem       sftp    /usr/libexec/openssh/sftp-server
# 外部子系统
Subsystem sftp internal-sftp
# 条件块
Match Group sftp
# 是否进行X11转发
X11Forwarding no
# 是否允许TCP转发
AllowTcpForwarding no
# 指定Chroot认证路径
ChrootDirectory %h
# 强制执行指定命令
ForceCommand internal-sftp

重启SSH服务

systemctl restart sshd

设置目录权限

chown root:sftp /opt/file
chmod 750 /opt/file
chown root:sftp /opt/file/sftpuser
chmod 750 /opt/file/sftpuser

其它

若系统做过加固，可能需对如下文件解保护。

chattr -i /etc/passwd /etc/shadow /etc/group /etc/gshadow
chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow

若登入目录存在子目录，权限将如下设置。

chown sftpuser:sftp /opt/file/sftpuser/upload
chmod 500 /opt/file/sftpuser/upload

注意

ChrootDirectory目录所有者必须为root用户，且只有其具备w权限。