ssh sftp配置及权限设置
- - 操作系统 - ITeye博客从技术角度来分析，几个要求：. 1、从安全方面看，sftp会更安全一点. 2、线上服务器提供在线服务，对用户需要控制，只能让用户在自己的home目录下活动. 3、用户只能使用sftp，不能ssh到机器进行操作. 提供sftp服务，可以用系统自带的internal-sftp，也可以使用vsftpd，这里需求不多，直接选用internal-sftp.
ssh sftp配置及权限设置
标签：
ssh
sftp
| 发表时间：2014-08-15 18:48 | 作者：stephen830
出处：http://www.iteye.com
从技术角度来分析，几个要求：
1、从安全方面看，sftp会更安全一点
2、线上服务器提供在线服务，对用户需要控制，只能让用户在自己的home目录下活动
3、用户只能使用sftp，不能ssh到机器进行操作
提供sftp服务，可以用系统自带的internal-sftp，也可以使用vsftpd，这里需求不多，直接选用internal-sftp。
限制用户只能在自己的home目录下活动，这里需要使用到chroot，openssh 4.8p1以后都支持chroot，我现在用的是CentOS 6.3，自带的openssh已经是5.3p1，足够了。
可以输入：
# ssh -V
来查看openssh的版本，如果低于4.8p1，需要自行升级安装，不在这里具体介绍了。
假设，有一个名为sftp的组，这个组中的用户只能使用sftp，不能使用ssh，且sftp登录后只能在自己的home目录下活动
1、创建sftp组
# groupadd sftp
2、创建一个sftp用户，名为mysftp
# useradd -g sftp -s /bin/false mysftp
# passwd mysftp
3、sftp组的用户的home目录统一指定到/data/sftp下，按用户名区分，这里先新建一个mysftp目录，然后指定mysftp的home为/data/sftp/mysftp
# mkdir -p /data/sftp/mysftp
# usermod -d /data/sftp/mysftp mysftp
4、配置sshd_config
编辑 /etc/ssh/sshd_config
# vim +132 /etc/ssh/sshd_config
找到如下这行，并注释掉
Subsystem sftp /usr/libexec/openssh/sftp-server
添加如下几行
Subsystem sftp internal-sftp
Match Group sftp
ChrootDirectory /data/sftp/%u
ForceCommand internal-sftp
AllowTcpForwarding no
X11Forwarding no
解释一下添加的几行的意思
Subsystem sftp internal-sftp
这行指定使用sftp服务使用系统自带的internal-sftp
Match Group sftp
这行用来匹配sftp组的用户，如果要匹配多个组，多个组之间用逗号分割
当然，也可以匹配用户
Match User mysftp
这样就可以匹配用户了，多个用户名之间也是用逗号分割，但我们这里按组匹配更灵活和方便
ChrootDirectory /data/sftp/%u
用chroot将用户的根目录指定到/data/sftp/%u，%u代表用户名，这样用户就只能在/data/sftp/%u下活动，chroot的含 义，可以参考这里：http://www.ibm.com/developerworks/cn/linux/l-cn-chroot/
ForceCommand internal-sftp
指定sftp命令
AllowTcpForwarding no
X11Forwarding no
这两行，如果不希望该用户能使用端口转发的话就加上，否则删掉
5、设定Chroot目录权限
# chown root:sftp /data/sftp/mysftp
# chmod 755 /data/sftp/mysftp
错误的目录权限设定会导致在log中出现”fatal: bad ownership or modes for chroot directory XXXXXX”的内容
目录的权限设定有两个要点：
1、由ChrootDirectory指定的目录开始一直往上到系统根目录为止的目录拥有者都只能是root
2、由ChrootDirectory指定的目录开始一直往上到系统根目录为止都不可以具有群组写入权限
所以遵循以上两个原则
1）我们将/data/sftp/mysftp的所有者设置为了root，所有组设置为sftp
2）我们将/data/sftp/mysftp的权限设置为755，所有者root有写入权限，而所有组sftp无写入权限
6、建立SFTP用户登入后可写入的目录
照上面设置后，在重启sshd服务后，用户mysftp已经可以登录，但使用chroot指定根目录后，根应该是无法写入的，所以要新建一个目录供mysftp上传文件。这个目录所有者为mysftp，所有组为sftp，所有者有写入权限，而所有组无写入权限
# mkdir /data/sftp/mysftp/upload
# chown mysftp:sftp /data/sftp/mysftp/upload
# chmod 755 /data/sftp/mysftp/upload
7、重启sshd服务
# service sshd restart
到这里，mysftp已经可以通过sftp客户端登录并可以上传文件到upload目录。
如果还是不能在此目录下上传文件，提示没有权限，检查SElinux是否关闭，可以使用如下指令关闭SElinux
修改/etc/selinux/config文件中的SELINUX="" 为 disabled ，然后重启。或者
# setenforce 0
已有 0 人发表留言，猛击->> 这里<<-参与讨论
ITeye推荐
相关 [ssh sftp] 推荐：
FTP/SFTP/SSH的一些软件包
- - 开源软件 - ITeye博客IIS，Windows自带，可以到[打开或关闭windows功能]里选择IIS，进行安装. freeSSHd ，支持FTP/SFTP/SSH. OpenSSH这个是Linux上的SSH标配，Windows上则可以通过cygwin的方式来安装. FileZilla，支持SFTP. WinSCP，支持SFTP.
SSH Tunnel扫盲
- Jerry - 老王的技术手册 ( 我的新博客：http://huoding.com )前些天，由于我不知道如何在Putty里拷贝字符而被朋友们取笑，着实糗了一把. 不过被别人B4的一大好处就是你会知耻而后勇，这阵子通过研读PuTTY 中文教程，估计以后不会再犯同样的错误了，在学习Putty的同时偶然发现自己对SSH Tunnel的了解很匮乏，所以便有了今天这篇笔记. SSH Tunnel有三种，分别是本地Local（ssh -NfL），远程Remote（ssh -NfR），动态Dynamic（ssh -NfD）.
OpenSSH SFTP远程溢出漏洞
- - C1G军火库近日曝出OpenSSH SFTP 远程溢出漏洞. OpenSSH服务器中如果OpenSSH服务器中没有配置”ChrootDirectory”，普通用户就可以访问所有文件系统的资源，包括 /proc，在>=2.6.x的Linux内核上，/proc/self/maps会显示你的内存布局，/proc/self/mem可以让你任意在当前进程上下文中读写，而综合两者特性则可以造成远程溢出.
SSH那些事儿
- Mao.. - Visual Mao++不知道读者中知道SSH有多少，我想除了pro们，剩下的都是用VPS. 一般来说，用SSH就是用ssh –D[1]这个动态转发接口，至于做什么用也就不明说了，大家都懂. 熟悉hg的都知道可以从“ssh://”地址克隆repository[2]，那剩下的呢. 故事的起因是office desktop在department firewall之内，用laptop的remote desktop（RDP）连接office需要先用PuTTY之类的神器连接department firewall（OpenBSD的哦），然后再用RDP连接desktop[3].
linux配置ssh+rsync
- - CSDN博客推荐文章sftp 文件共享 类似ftp ssh secure file transfer client. scp 文件共享 类似cp. #PermitRootLogin yes 改成no 禁止root直接登录. #Port 22 改变ssh的默认端口号 要打开注释. 登录 ssh [email protected] 然后输入密码就好了.
注册送 SSH Tunnels 账号
- jason - 细节的力量来源：http://www.hiwaley.com/2098.html. 赠送 SSH Tunnels 账号，用途请Google “SSH Tunnels“. 长期有效，直到本站倒闭，或者某天墙塌了. SSH的账号和Blog的账号一样，如需修改SSH的密码，直接修改Blog的密码即可. 注册帐号后，需要配置SSH客户端和浏览器，具体方法如下：.
免费VPN & SSH信息
- jason - iGFW注册即送免费128M流量的PPTP和L2TP,OPENVPN. 注册地址：http://www.jpvpn.net/register. 配置文件下载：http://sharesend.com/gpebc. 以下15组免费帐号，用户名和密码一样. 用户名和密码填写在vegas目录下的Acct.txt文件里.
优秀的Android SSH工具
- 牛牛 - SolidotPeter Jackson 写道 Secure Shell(SSH)是工作在应用层和传输层之上的网络安全协议，利用128位公钥加密接收和发送的信息. SSH能保证两个主机之间的通信不被中间人拦截. 作为一种安全保护协议，SSH常被用于安全数据通信和远程命令执行. 其它常用用途包括使用SSH文件传输协议或安全复制协议在机器之间建立安全隧道或传输文件.
SSH的登录限制
- - 操作系统 - ITeye博客从网络来的数据包首先要经过iptables，所以可以在iptables上面加上规则来限制ip的访问. 比如只限制3个外网,1个内网IP连接. 直接在/etc/hosts.deny里面加一行. sshd: ALL EXCEPT xxx.xxx.xxx.xxx(允许的ip或网段). sshd: ALL EXCEPT xxx.xxx.xxx.xxx/255.255.255.0(允许的网段) 就可以了.