标签：验证 possible amp dir linux环境 winscp cvs rmi force
因工作上要接收外部机构发来的文件，采取FTP的方式保密性差，SFTP方式则采取了加密了传输，安全性更好。因此需要搭建SFTP服务，首选Linux环境，本文使用Centos7来掩饰。
[root@localhost ~]# cat /etc/redhat-release CentOS Linux release 7.4.1708 (Core) [root@localhost ~]# ssh -V OpenSSH_7.4p1, OpenSSL 1.0.2k-fips 26 Jan 2017
[root@localhost ~]# groupadd sftp --创建用户组 [root@localhost ~]# useradd -g sftp -s /sbin/nologin sftp1 --创建用户 [root@localhost ~]# passwd sftp1 Changing password for user sftp1. New password: [root@localhost ~]# mkdir -p /data/sftp/sftp1 [root@localhost ~]# usermod -d /data/sftp/sftp1 sftp1 --指定用户默认目录
[root@localhost ~]# vi /etc/ssh/sshd_config -- 在末尾添加 #Subsystem sftp /usr/libexec/openssh/sftp-server --这里注释掉 # Example of overriding settings on a per-user basis #Match User anoncvs # X11Forwarding no # AllowTcpForwarding no # PermitTTY no # ForceCommand cvs server
--从这里开始增加
Subsystem sftp internal-sftp Match Group sftp --匹配用户组 ChrootDirectory /data/sftp/%u --限定了访问目录 X11Forwarding no AllowTcpForwarding no ForceCommand internal-sftp
[root@localhost ~]# chown root:sftp /data/sftp/sftp1 --设置root为目录所有者 [root@localhost ~]# chmod 755 /data/sftp/sftp1 --不能超过755，sftp1可读可执行、不可写（也可设置为644） [root@localhost ~]# mkdir /data/sftp/sftp1/upload [root@localhost ~]# chown sftp1:sftp /data/sftp/sftp1/upload –-设置sftp1为目录所有者 [root@localhost ~]# chmod 755 /data/sftp/sftp1/upload --sftp1可读可写可执行 [root@localhost ~]# systemctl restart sshd.service –-重启sshd服务，让sshd_config配置生效
[root@localhost ~]# sftp sftp1@127.0.0.1 sftp1@127.0.0.1‘s password: Connected to 127.0.0.1. sftp> exit --成功！
-- 也可以在windows上也可以用winscp验证登录
1. Permmission Denied
原因：（1）密码错误；（2）目录权限设置有问题
2. Broken pipe. Couldn‘t read packet...
原因：目录权限设置问题。可以用将访问用户的用户组改为root，看是否还会报错，如果不报错，则就是之前目录权限设置的问题。
出于安全角度考虑，有外部机构提出不能使用默认22端口，要额外新增访问端口。这里以新增22345端口为例，只需要再次修改sshd配置文件就可以。
[root@localhost ~]# vi /etc/ssh/sshd_config
-- 中间位置 # If you want to change the port on a SELinux system, you have to tell # SELinux about this change. # semanage port -a -t ssh_port_t -p tcp #PORTNUMBER # # Port 22 --这一行取消注释，保留22端口用于内部远程控制 Port 22345 --端口增加22345
-- 如果开启了防火墙，还需要额外放行端口
[root@localhost ~]# netstat –nlptu [root@localhost ~]# firewall-cmd --permanent --add-port=22345/tcp --防火墙放行 success [root@localhost ~]# systemctl restart firewalld --重启防火墙
最后用WinSCP访问新端口22345验证链接。
默认情况下，用户登录的第一层目录是不能操作的，我们会创建一个upload子目录，把所有者赋予用户，用户要上传文件必须要进入upload子目录进行。
现在有机构提出要登录后直接可上传文件，去掉进入子目录这一步。搜索网上资料，发现最简单的方式是通过修改sshd配置文件中的ForceCommand internal-sftp参数。
-- 假设用户sftpuser对应默认路径/home/sftpuser，但仅在子目录/home/sftpuser/upload下可上传文件，我们可以让其登录后自动进入upload目录。
[root@localhost ~]# vi /etc/ssh/sshd_config
-- 在最后添加
Match User sftpuser --匹配用户sftpuser ChrootDirectory /home/sftpuser --用户root目录 AllowTCPForwarding no X11Forwarding no ForceCommand internal-sftp -d /upload --登录后自动执行命令进入upload目录，用户仍可回到默认root目录
随着外部SFTP用户增多，需要有个管理员用户来统一查看所有用户的文件。直接用root不安全，要新建用户来实现。
-- 新建一个sftpadmin用户，归属于root用户组
[root@localhost ~]# useradd -g root sftpadmin --创建用户 [root@localhost ~]# passwd sftpadmin
-- 修改sshd配置文件，配置sftpadmin用户的默认root目录为父目录。假设用户目录为/data/sftpgroup01/sftpuser01，那么父目录就是/data/sftpgroup01。 [root@localhost ~]# vi /etc/ssh/sshd_config Match User sftpadmin ChrootDirectory /data/sftpgroup01 --限定访问目录 ForceCommand internal-sftp X11Forwarding no AllowTcpForwarding no
https://blog.csdn.net/axing2015/article/details/83755143 --操作成功
https://blog.csdn.net/tingjie/article/details/80887463 --报错如下，应该是目录权限设置问题，待研究。
https://www.cnblogs.com/gz9218/p/85d25b3aeaea9b1f8455a889abedfdf2.html --报错：同上
https://www.cnblogs.com/heqiuyong/p/11072829.html -- 修改SSH服务端口。
https://serverfault.com/questions/910789/chroot-sftp-possible-to-allow-user-to-write-to-current-chroot-directory --用户登录后的默认路径可写入
标签：验证 possible amp dir linux环境 winscp cvs rmi force
原文地址：https://www.cnblogs.com/hawking8su/p/13326398.html
