SFTP和FTP区别及安装配置SFTP

蔚落 2021-12-12 12:17 842阅读 0赞

# SFTP和FTP区别及安装配置SFTP #

## 适用场景 ##

我们平时习惯了使用ftp来上传下载文件，尤其是很多Linux环境下，我们一般都会通过第三方的SSH工具连接到Linux，但是当我们需要传输文件到Linux服务器当中，很多人习惯用ftp来传输，其实Linux默认是不提供ftp的，需要你额外安装FTP服务器。而且ftp服务器端会占用一定的VPS服务器资源。

## 主要区别 ##

*  FTP（File Transfer Protocol），即文件传输协议

包括一个FTP服务器和多个FTP客户端。用于Internet上控制文件的双向传输，FTP客户端通过FTP协议在服务器上下载资源  
一般情况下，当使用FTP服务的时候，我们都知道默认是21号端口，其实还有一个20号端口。FTP使用两个TCP连接，21号端口负责控制连接，20号端口负责数据连接，这样才不会混乱，FTP可以更好的为我们服务。ftp通常以ASCII码和二进制的方式传输数据，FTP协议的工作方式可以分为主动模式和被动模式两种，主动是指FTP客户端发送PORT命令连接FTP服务器，被动是FTP客户端发送PASV命令连接FTP服务器。  
**主动模式**：在通过21号端口连接好控制通道后，客户端发送给服务器PORT命令，就是给服务器说咱们俩通信你可以在那个端口进行，于是服务器打开20号端口，连接上客户端的指定的端口进行连接，传送数据。需要创建一个新的连接。  
**被动模式**：在通过21号端口连接好控制通道后，客户端发送给服务器PASV命令，就是给服务器说咱们俩通信的端口号你选择，然后服务器随机选择一个端口（大于1024）,FTP客户端连接至此端口，进行通信。不需要创建一个新的连接

*  SFTP（Secure File Transfer Protocol），即文件加密传输协议

是在FTP的基础上对数据进行加密，使得传输的数据相对来说更安全。  
sftp 与 ftp 有着几乎一样的语法和功能。SFTP 为 SSH的一部分，是一种传输档案至 Blogger 伺服器的安全方式。其实在SSH软件包中，已经包含了一个叫作SFTP(Secure File Transfer Protocol)的安全文件传输子系统，SFTP本身没有单独的守护进程，它必须使用sshd守护进程（端口号默认是22）来完成相应的连接操作，所以从某种意义上来说，SFTP并不像一个服务器程序，而更像是一个客户端程序。传输双方既要进行密码安全验证，还要进行基于密钥的安全验证。所以，使用SFTP是非常安全的。但是，由于这种传输方式使用了加密/解密技术，所以传输效率比普通的FTP要低得多  
在使用linux的centos服务器系统中，两个比较起来，ftp传输会比sftp传输速率快，毕竟sftp牺牲了一定的效率，以保证传输过程的安全。  
**SFTP优点：**  
1．可以不用额外安装任何服务器端程序(很多公司为了安全性Linux没有外网环境，只有SSH的时候，想传输文件是很悲催的问题)  
2.会更省系统资源  
3.SFTP使用加密传输认证信息和传输数据，相对来说会更安全。  
4.不需要单独配置

## 安装配置示例 ##

*以下为用户通过密码登陆的，还有一种通过秘钥登陆，*

1.  创建sftp服务用户组及sftp服务根目录并修改权限

[root@localhost ~]# id psbc
    id: psbc: no such user
    [root@localhost ~]# groups sftp
    groups: sftp: no such user
    [root@localhost ~]# 
    [root@localhost ssh]# chattr -i /etc/group /etc/passwd /etc/shadow /etc/gshadow 
    [root@localhost ssh]# lsattr /etc/group /etc/passwd /etc/shadow /etc/gshadow
    ---------------- /etc/group
    ---------------- /etc/passwd
    ---------------- /etc/shadow
    ---------------- /etc/gshadow
    [root@localhost ~]# mkdir -p /test/sftp
    [root@localhost ~]# groupadd sftp
    [root@localhost ~]# useradd -g sftp -s /sbin/nologin -d /test/sftp/psbc psbc
    # -g 用户组； -d 指定家目录； -s 不登陆shell； -M 不创建家目录
    [root@localhost psbc]# passwd psbc
    [root@localhost ~]# tail -1 /etc/passwd
    psbc:x:1001:1001::/test/sftp/psbc:/sbin/nologin
    [root@localhost ~]# su - psbc
    This account is currently not available.
    [root@localhost ~]# cd /test/sftp/
    [root@localhost sftp]# ls
    psbc
    [root@localhost sftp]# cd psbc/
    [root@localhost psbc]# mkdir -p upload
    [root@localhost psbc]# mkdir -p download
    [root@localhost psbc]# ll /test/sftp/
    总用量 0
    drwx------. 4 psbc sftp 92 6月   8 11:37 psbc
    [root@localhost sftp]# chown -R root:sftp psbc
    [root@localhost sftp]# chmod 755 psbc/
    [root@localhost sftp]# ll /test/sftp/
    总用量 0
    drwxr-xr-x. 4 root sftp 92 6月   8 11:37 psbc
    [root@localhost sftp]# cd psbc/
    [root@localhost psbc]# ll
    总用量 0
    drwxr-xr-x. 2 root sftp 6 6月   8 11:37 download
    drwxr-xr-x. 2 root sftp 6 6月   8 11:37 upload
    [root@localhost psbc]# chown psbc:sftp ./*  (权限很重要啊 很重要！)
    [root@localhost psbc]# chmod 755  ./*
    [root@localhost psbc]# ll
    总用量 0
    drwxr-xr-x. 2 psbc sftp 6 6月   8 11:37 download
    drwxr-xr-x. 2 psbc sftp 6 6月   8 11:37 upload

1.  修改sshd配置文件

[root@localhost ~]# cp /etc/ssh/sshd_config{,.bak}
    [root@localhost ~]# vim /etc/ssh/sshd_config
    17 ListenAddress 0.0.0.0:22
    18 ListenAddress 0.0.0.0:2222   （行数仅供参考）
    39 PermitRootLogin no
    40 AllowUsers zbh psbc  (我设置的不允许root登陆 所以这里也要记得添加sftp用户)
    134 #Subsystem      sftp    /usr/libexec/sftp-server
    113 Subsystem       sftp    internal-sftp
    137 # Example of overriding settings on a per-user basis
    138 #Match User anoncvs
    139 #       X11Forwarding no
    140 #       AllowTcpForwarding no
    141 #       PermitTTY no
    142 #       ForceCommand cvs server
    143 
    144 Match Group sftp
    145         ChrootDirectory /test/sftp/%u 
    146         X11Forwarding no
    147         AllowTcpForwarding no
    148         ForceCommand internal-sftp

• Match Group sftp 这一行是指定以下的子行配置是匹配 sftp 用户组的。Match user userA,userB 则是匹配用户。  
• ChrootDirectory /data/sftp/%u 设定属于用户组 sftp 的用户访问的根文件夹。%h 代表用户 home 目录，%u 代表用户名。  
• ForceCommand internal-sftp 该行强制执行内部 sftp，并忽略任何 ~/.ssh/rc 文件中的命令。  
• AllowTcpForwarding no 是否允许 TCP 转发，默认值为 “yes”， 禁止 TCP 转发并不能增强安全性，除非禁止了用户对 shell 的访问，因为用户可以安装他们自己的转发器。  
• X11Forwarding no 是否允许进行 X11 转发。默认值是 “no”，设为 “yes” 表示允许。如果允许 X11 转发并且 sshd(8)代理的显示区被配置为在含有通配符的地址(X11UseLocalhost)上监听。那么将可能有额外的信息被泄漏。由于使用 X11 转发的可能带来的风险，此指令默认值为"no"。需要注意的是，禁止 X11 转发并不能禁止用户转发 X11 通信，因为用户可以安装他们自己的转发器。

1.  重启服务使其生效

[root@localhost ~ ]# systemctl restart sshd 
    [root@localhost psbc]# netstat -anpt |grep sshd
    tcp        0      0 0.0.0.0:2222            0.0.0.0:*               LISTEN      26005/sshd          
    tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      26005/sshd          
    tcp        0      0 192.168.17.136:22       192.168.17.15:60240     ESTABLISHED 1508/sshd: root@pts 
    tcp        0      0 192.168.17.175:22       192.168.17.10:63728     ESTABLISHED 25907/sshd: zbh [pr 
    tcp        0      0 192.168.17.136:22       192.168.17.15:65352     ESTABLISHED 1904/sshd: root@pts 
    tcp        0      0 192.168.17.175:22       192.168.17.15:49673     ESTABLISHED 1972/sshd: root@pts

1.  登陆用户验证

[root@localhost psbc]# sftp -P 2222 psbc@127.0.0.1
    The authenticity of host '[127.0.0.1]:2222 ([127.0.0.1]:2222)' can't be established.
    ECDSA key fingerprint is SHA256:KW/l1qcEgtv5gK3kwFGeO2ZBfjwRbXGrbKu4erPJYy4.
    Are you sure you want to continue connecting (yes/no)? yes
    Warning: Permanently added '[127.0.0.1]:2222' (ECDSA) to the list of known hosts.
    psbc@127.0.0.1's password: 
    Connected to psbc@127.0.0.1.
    sftp> ls
    download  upload    
    sftp> pwd
    Remote working directory: /
    sftp> cd upload           
    sftp> ls
    test  
    sftp> get test   
    Fetching /upload/test to test
    /upload/test                                                                                                     100%   15    51.8KB/s   00:00    
    sftp>
    到此搭建sftp及创建用户psbc成功

1.  遇到的错误及解决办法

*  packet\_write\_wait: Connection to 127.0.0.1 port 2222: Broken pipe

[root@localhost psbc]# sftp -P 2222 psbc@127.0.0.1
    Authorized only.All activity will be monitored and reported.
    psbc@127.0.0.1's password: 
    packet_write_wait: Connection to 127.0.0.1 port 2222: Broken pipe 
    Connection Closed.
    Connection Closed.

**解决办法：**

/test/sftp/psbc(ChrootDirectory) 的用户必须为 root
    [root@localhost ~ ]# chown -R root:sftp /test/sftp/psbc

*  Remote readdir("/"): Permission denied

Sftp登陆后，没有读的权限
    sftp> ls remote readdir("/"): Permission denied

**解决办法：**

/test/sftp/psbc(ChrootDirectory) 组sftp必须要有读权限
    [root@localhost ~ ]# chmod -R 755 /test/sftp/psbc

参考文档：[https://www.cnblogs.com/binarylei/p/9201975.html][https_www.cnblogs.com_binarylei_p_9201975.html]

[https_www.cnblogs.com_binarylei_p_9201975.html]: https://www.cnblogs.com/binarylei/p/9201975.html