文档章节

Ubuntu Server如何配置SFTP(建立用户监狱)

BearCatYN
 BearCatYN
发布于 2015/08/25 14:26
字数 1091
阅读 215
收藏 0
点赞 0
评论 0

SSH File Transfer Protocol是一个比普通FTP更为安全的文件传输协议。(参考资料:http://en.wikipedia.org/wiki/SSH_File_Transfer_Protocol)它工作在Secure Shell(SSH)上,确保文件被加密传输。

 

因为工作需要,我研究了一下如何在Ubuntu Server上配置SFTP,记录如下。

 

需求:在服务器上开通SFTP文件服务,允许某些用户上传及下载文件。但是这些用户只能使用SFTP传输文件,不能使用SSH终端访问服务器,并且SFTP不能访问系统文件(即所谓的“Jail(监狱)”)。系统管理员则既能使用SFTP传输文件,也能使用SSH远程管理服务器。

 

为了便于讨论,我假设我将允许sftp-users用户组内的用户使用SFTP,但不允许使用SSH Shell,且该组用户将被"监狱"(修改系统根目录)。我将在sftp-users组内创建一个用户“alice”。而我将允许ssh-users使用SFTP以及SSH。系统管理员的账户名为admin。

 

第01步,如果还没有安装OpenSSH服务器,先安装它。

sudo apt-get install openssh-server

第02步,为SFTP访问创建用户组,便于管理权限。

sudo addgroup sftp-users

第03步,创建SFTP用户,并配置相应权限。这里第二行的意思是将alice从所有其他用户组中移除并加入到sftp-users组,并且关闭其Shell访问。如果想深入了解usermod命令,可以使用以下"man usermod"命令查看帮助文档。

sudo adduser alice
sudo usermod -G sftp-users -s /bin/false alice

第04步,创建SSH用户组,并把管理员加入到该组(注意usermod中的-a参数的意思是不从其他用户组用移除)。

sudo addgroup ssh-users
sudo usermod -a -G ssh-users admin

第05步,准备“监狱”的根目录及共享目录。这里解释一下,“监狱”的根目录必须满足以下要求:所有者为root,其他任何用户都不能拥有写入权限。因此,为了让SFTP用户能够上传文件,还必须在“监狱”根目录下再创建一个普通用户能够写入的共享文件目录。为了便于管理员通过SFTP管理上传的文件,我把这个共享文件目录配置为:由admin所有,允许sftp-users读写。这样,管理员和SFTP用户组成员就都能读写这个目录了。

sudo mkdir /home/sftp_root
sudo mkdir /home/sftp_root/shared
sudo chown admin:sftp-users /home/sftp_root/shared
sudo chmod 770 /home/sftp_root/shared

第06步,修改SSH配置文件。

sudo nano /etc/ssh/sshd_config

在sshd_config文件的最后,添加以下内容:

AllowGroups ssh-users sftp-users

Match Group sftp-users

ChrootDirectory /home/sftp_root

AllowTcpForwarding no

X11Forwarding no

ForceCommand internal-sftp

 

这些内容的意思是:

只允许ssh-uers及sftp-users通过SSH访问系统;

针对sftp-users用户,额外增加一些设置:将“/home/sftp_root”设置为该组用户的系统根目录(因此它们将不能访问该目录之外的其他系统文件);禁止TCP Forwarding和X11 Forwarding;强制该组用户仅仅使用SFTP。

 

如果需要进一步了解细节,可以使用“man sshd_config”命令。这样设置之后,SSH用户组可以访问SSH,并且不受其他限制;而SFTP用户组仅能使用SFTP进行访问,而且被关进监狱目录。

 

第07步,重启系统以便使新配置生效。

sudo reboot now

 

完成啦!

 

进一步的讨论:SSH用户组将能远程访问所有系统文件,也许不是所有情况下都适用。某些情况下,也许想同样把SSH用户也关监狱。这时候,需要作跟SFTP类似的配置(除了不用usermod -s /bin/false),而且需要把允许SSH用户访问的系统文件复制到监狱根目录下相应的位置。具体信息可以在网上查找,我自己没有实践验证,所以就不误导大家了。(上面这个教程,是我从网上很多似是而非的资料中通过自己的实验整理出来的,在Ubuntu Server 12.04 LTS 64-bit系统上验证通过。非常痛恨那些好像能用但实际错漏很多的教程!)

 

参考:

http://yhf8377.blog.163.com/blog/static/176860177201210217219800/

http://ihacklog.com/post/how-to-enable-secure-shell-in-ubuntu.html

http://blog.csdn.net/xiaosu_521/article/details/2157011
http://www.linuxidc.com/Linux/2011-01/31022.htm


本文转载自:http://www.cnblogs.com/findumars/p/4004251.html

共有 人打赏支持
BearCatYN
粉丝 27
博文 157
码字总数 11947
作品 0
朝阳
程序员
LXC 容器集chroot使用说明

1.1 LXC是什么? 1.1.1 关于LXC LXC,其名称来自Linux软件容器(Linux Containers)的缩写,一种操作系统层虚拟化(Operating system–level virtualization)技术,为Linux内核容器功能的一...

惨绿少年 ⋅ 02/09 ⋅ 0

centos7中实现chroot限制ssh及sftp至指定目录

背景:在vcenter6.5中创建两个虚拟机,如下图, 目的:创建一名用户同时能够实现chroot来限制ssh及sftp至指定目录,可以实现系统安全。 其中,我们将在pool-test(ip:172.16.6.11)中进行配置...

lefteva ⋅ 2017/05/26 ⋅ 0

用ChrootDirectory限制SFTP登录的用户只能访问指定目录且不能进行ssh登录

创建不能ssh登录的用户sftpuser1,密码用于sftp登录: sudo adduser sftpuser1 --home /sftp/sftpuser1 --shell /bin/false sudo nano /etc/ssh/sshdconfig (执行man sshdconfig查看配置说明)......

eechen ⋅ 2015/12/14 ⋅ 2

CentOS安装SFTP

服务器以centOS为例. 首先为什么要搭建sftp?答案:允许某些用户上传及下载文件,但是这些用户只能使用sftp传送文件,不能使用SSH终端访问服务器,而且sftp不能访问系统文件 创建sftp组 添加一个...

eatnothing ⋅ 2016/12/01 ⋅ 0

在Ubuntu 14.04上安装搭建FTP服务器详解

今天要做一个网络日志的迁移程序,搬文件的话,想来想去还是用FTP吧。FTP用于通过TCP网络从一台主机向另外一台主机传送文件。这篇文章解说了怎样在Ubuntu 14.04上安装FTP服务器。流行的FTP服...

微笑的江豚 ⋅ 2016/09/04 ⋅ 0

Ubuntu下SSH设置

网上有很多介绍在Ubuntu下开启SSH服务的文章,但大多数介绍的方法测试后都不太理想,均不能实现远程登录到Ubuntu上,最后分析原因是都没有真正开启ssh-server服务。最终成功的方法如下: Ub...

长平狐 ⋅ 2012/08/13 ⋅ 0

Openssh服务器的搭建,并使用PSFTP实现文件自动上传,下载的script命令

才来这家公司被分配一个任务协助经理完成SSH Server的搭建,并且要实现客户端直接向服务器端上传文件。OK废话少说首先先来搭建服务器的步骤! (1)下载 服务器端我们使用openssh,它自带了c...

jihuayu ⋅ 2011/05/18 ⋅ 0

CentOS配置sftp服务器

CentOS配置sftp服务器 1、查看openssh的版本 ssh -V 版本必须大于4.8p1,低于的这个版本需要升级。 2、创建sftp组 groupadd sftp 2、创建2个sftp用户,用户名为test1和test2,密码为同用户名...

fuvip ⋅ 2017/11/23 ⋅ 0

Ubuntu14.04创建ftp服务器

在Ubuntu 14.04 上安装 FTP 服务 第一步>>更新库 第二步>>采用如下命令安装VSFTPD的包 第三步>>安装完成后打开 /etc/vsftpd.conf 文件,按如下所述修改。 取消如下行的注释(行号为29和33) ...

楠木楠 ⋅ 2016/12/20 ⋅ 0

华为配置SSH登陆详细步骤

理解下SSH登录的过程: 1、建立目的端口为22的TCP连接 2、协商SSH版本 3、协商密钥和算法 4、会话建立 下面为server端的详细配置步骤: 1、创建本地RSA密钥对 rsa local-key-pair creat //产...

xsc848788 ⋅ 2014/05/24 ⋅ 0

没有更多内容

加载失败,请刷新页面

加载更多

下一页

常见数据结构(二)-树(二叉树,红黑树,B树)

本文介绍数据结构中几种常见的树:二分查找树,2-3树,红黑树,B树 写在前面 本文所有图片均截图自coursera上普林斯顿的课程《Algorithms, Part I》中的Slides 相关命题的证明可参考《算法(第...

浮躁的码农 ⋅ 17分钟前 ⋅ 0

android -------- 混淆打包报错 (warning - InnerClass ...)

最近做Android混淆打包遇到一些问题,Android Sdutio 3.1 版本打包的 错误如下: Android studio warning - InnerClass annotations are missing corresponding EnclosingMember annotation......

切切歆语 ⋅ 33分钟前 ⋅ 0

eclipse酷炫大法之设置主题、皮肤

eclipse酷炫大法 目前两款不错的eclipse 1.系统设置 Window->Preferences->General->Appearance 2.Eclipse Marketplace下载【推荐】 Help->Eclipse Marketplace->搜索‘theme’进行安装 比如......

anlve ⋅ 41分钟前 ⋅ 0

vim编辑模式、vim命令模式、vim实践

vim编辑模式 编辑模式用来输入或修改文本内容,编辑模式除了Esc外其他键几乎都是输入 如何进入编辑模式 一般模式输入以下按键,均可进入编辑模式,左下角提示 insert(中文为插入) 字样 i ...

蛋黄Yolks ⋅ 46分钟前 ⋅ 0

大数据入门基础:SSH介绍

什么是ssh 简单说,SSH是一种网络协议,用于计算机之间的加密登录。 如果一个用户从本地计算机,使用SSH协议登录另一台远程计算机,我们就可以认为,这种登录是安全的,即使被中途截获,密码...

董黎明 ⋅ 今天 ⋅ 0

web3j教程

web3j是一个轻量级、高度模块化、响应式、类型安全的Java和Android类库提供丰富API,用于处理以太坊智能合约及与以太坊网络上的客户端(节点)进行集成。 汇智网最新发布的web3j教程,详细讲解...

汇智网教程 ⋅ 今天 ⋅ 0

谷歌:安全问题机制并不如你想象中安全

腾讯科技讯 5月25日,如今的你或许已经对许多网站所使用的“安全问题机制”习以为常了,但你真的认为包括“你第一个宠物的名字是什么?”这些问题能够保障你的帐户安全吗? 根据谷歌(微博)安...

问题终结者 ⋅ 今天 ⋅ 0

聊聊spring cloud gateway的RedisRateLimiter

序 本文主要研究下spring cloud gateway的RedisRateLimiter GatewayRedisAutoConfiguration spring-cloud-gateway-core-2.0.0.RELEASE-sources.jar!/org/springframework/cloud/gateway/con......

go4it ⋅ 今天 ⋅ 0

169. Majority Element - LeetCode

Question 169. Majority Element Solution 思路:构造一个map存储每个数字出现的次数,然后遍历map返回出现次数大于数组一半的数字. 还有一种思路是:对这个数组排序,次数超过n/2的元素必然在中...

yysue ⋅ 今天 ⋅ 0

NFS

14.1 NFS介绍 NFS是Network File System的缩写 NFS最早由Sun公司开发,分2,3,4三个版本,2和3由Sun起草开发,4.0开始Netapp公司参与并主导开发,最新为4.1版本 NFS数据传输基于RPC协议,RPC...

派派菠菜 ⋅ 今天 ⋅ 0

没有更多内容

加载失败,请刷新页面

加载更多

下一页

返回顶部
顶部