手机版
你好,游客 登录 注册
背景:
阅读新闻

Linux 下ssh sftp配置之密钥方式登录详解

[日期:2019-01-21] 来源:Linux公社  作者:Linux [字体: ]

 

由于vsftp采用明文传输,用户名密码可通过抓包得到,为了安全性,需使用sftp,锁定目录且不允许sftp用户登到服务器。由于sftp使用的是ssh协议,需保证用户只能使用sftp,不能ssh到机器进行操作,且使用密钥登陆、不是22端口。

 

先看下原理图:

Linux 下ssh sftp配置之密钥方式登录详解

 

1. 在远程目标创建sftp服务用户组,创建sftp服务根目录

 

groupadd sftp

 

#此目录及上级目录的所有者必须为root,权限不高于755,此目录的组最好设定为sftp

 

mkdir /data/sftp

 

chown -R root:sftp /data/sftp

 

chmod -R 0755 /data/sftp

 

2. 修改sshd配置文件

 

cp /etc/ssh/sshd_config,_bk} #备份配置文件

 

sed -i 's@#Port 22@Port 22@' /etc/ssh/sshd_config #保证原来22端口可以

 

vi /etc/ssh/sshd_config

 

注释掉/etc/ssh/sshd_config文件中的此行代码:

 

Subsystem  sftp  /usr/libexec/openssh/sftp-server

 

添加如下代码:

 

Port 22222 #此处改为非22端口
Subsystem sftp internal-sftp -l INFO -f AUTH
Match Group sftp
ChrootDirectory /data/sftp/%u
X11Forwarding no
AllowTcpForwarding no
ForceCommand internal-sftp -l INFO -f AUTH

 

凡是在用户组sftp里的用户,都可以使用sftp服务;使用sftp服务连接上之后,可访问目录为/data/sftp/username

 

举个例子:

 

test是一个sftp组的用户,它通过sftp连接服务器上之后,只能看到/data/sftp/test目录下的内容

 

test2也是一个sftp组的用户,它通过sftp连接服务器之后,只能看到/data/sftp/test2目录下的内容

 

3. 创建sftp用户

 

#此例将创建一个名称为test的sftp帐号

 

#创建test sftp家目录:test目录的所有者必须是root,组最好设定为sftp,权限不高于755

 

mkdir /data/sftp/test

 

chmod 0755 /data/sftp/test

 

chown root:sftp /data/sftp/test

 

useradd -g sftp -s /sbin/nologin test #添加用户,参数-s /sbin/nologin禁止用户通过命令行登录

 

在本地创建test用户密钥对(用来连接远程服务器的):

 

# mkdir /home/test/.ssh
# ssh-keygen -t rsa
# ssh-copy-id test@IP ##要远程的目标服务器IP和账户
# chown -R test.sftp /home/test

 

另外我们要注意,.ssh目录的权限为700,其下文件authorized_keys和私钥的权限为600。否则会因为权限问题导致无法免密码登录。我们可以看到登陆后会有known_hosts文件生成。

 

在目标远程服务器test目录下创建一个可以写的upload目录

 

mkdir /data/sftp/test/upload

 

chown -R test:sftp /data/sftp/test/upload

 

注:sftp服务的根目录的所有者必须是root,权限不能超过755(上级目录也必须遵循此规则),sftp的用户目录所有者也必须是root,且最高权限不能超过755。

 

4. 测试sftp

 

systemctl restart sshd.service

 

test用户密钥登陆:

 

sftp test@IP ##在本地sftp登陆远程服务器

 

另外,将公钥拷贝到服务器的~/.ssh/authorized_keys文件中方法有如下几种:

 

1、将公钥通过scp拷贝到服务器上,然后追加到~/.ssh/authorized_keys文件中,这种方式比较麻烦。scp -P 22 ~/.ssh/id_rsa.pub user@host:~/。

 

2、通过ssh-copy-id程序,就是我演示的方法,ssh-copyid user@host即可

 

3、可以通过cat ~/.ssh/id_rsa.pub | ssh -p 22 user@host ‘cat >> ~/.ssh/authorized_keys’,这个也是比较常用的方法,因为可以更改端口号。

 

Linux公社的RSS地址https://www.linuxidc.com/rssFeed.aspx

 

本文永久更新链接地址https://www.linuxidc.com/Linux/2019-01/156467.htm

linux
本文评论   查看全部评论 (0)
表情: 表情 姓名: 字数

       

评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款