Linux 下ssh sftp配置之密钥方式登录详解

迷南。 2022-05-28 06:36 798阅读 0赞

由于vsftp采用明文传输，用户名密码可通过抓包得到，为了安全性，需使用sftp，锁定目录且不允许sftp用户登到服务器。由于sftp使用的是ssh协议，需保证用户只能使用sftp，不能ssh到机器进行操作，且使用密钥登陆、不是22端口。

先看下流程图：

![20180331115218240][]

**1. 在远程目标创建sftp服务用户组,创建sftp服务根目录**

<table style="margin-left:0px;width:643px;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#cccccc;vertical-align:baseline;"> <p>1</p> </td> 
   <td style="border-color:#cccccc;vertical-align:baseline;width:611px;"> <p><code>groupadd </code><code>sftp</code></p> </td> 
  </tr> 
 </tbody> 
</table>

\#此目录及上级目录的所有者必须为root，权限不高于755，此目录的组最好设定为sftp

<table style="margin-left:0px;width:643px;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#cccccc;vertical-align:baseline;"> <p>1</p> <p>2</p> <p>3</p> </td> 
   <td style="border-color:#cccccc;vertical-align:baseline;width:611px;"> <p><code>mkdir</code> <code>/data/sftp</code></p> <p><code>chown</code> <code>-R root:</code><code>sftp</code> <code>/data/sftp</code></p> <p><code>chmod</code> <code>-R 0755 </code><code>/data/sftp</code></p> </td> 
  </tr> 
 </tbody> 
</table>

2. 修改sshd配置文件

<table style="margin-left:0px;width:643px;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#cccccc;vertical-align:baseline;"> <p>1</p> <p>2</p> </td> 
   <td style="border-color:#cccccc;vertical-align:baseline;width:611px;"> <p><code>cp</code> <code>/etc/ssh/sshd_config</code><code>_bk} </code><code>#备份配置文件</code></p> <p><code>sed</code> <code>-i </code><code>'s@#Port 22@Port 22@'</code> <code>/etc/ssh/sshd_config</code> <code>#保证原来22端口可以</code></p> </td> 
  </tr> 
 </tbody> 
</table>

<table style="margin-left:0px;width:643px;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#cccccc;vertical-align:baseline;"> <p>1</p> </td> 
   <td style="border-color:#cccccc;vertical-align:baseline;width:611px;"> <p><code>vi</code> <code>/etc/ssh/sshd_config</code></p> </td> 
  </tr> 
 </tbody> 
</table>

注释掉/etc/ssh/sshd\_config文件中的此行代码：

<table style="margin-left:0px;width:643px;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#cccccc;vertical-align:baseline;"> <p>1</p> </td> 
   <td style="border-color:#cccccc;vertical-align:baseline;width:611px;"> <p><code>Subsystem&nbsp;&nbsp; </code><code>sftp</code>&nbsp; <code>/usr/libexec/openssh/sftp-server</code></p> </td> 
  </tr> 
 </tbody> 
</table>

添加如下代码：

<table style="margin-left:0px;width:643px;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#cccccc;vertical-align:baseline;"> <p>1</p> <p>2</p> <p>3</p> <p>4</p> <p>5</p> <p>6</p> <p>7</p> </td> 
   <td style="border-color:#cccccc;vertical-align:baseline;width:611px;"> <p><code>Port 22222 #此处改为非22端口</code></p> <p><code>Subsystem </code><code>sftp</code> <code>internal-</code><code>sftp</code> <code>-l INFO -f AUTH</code></p> <p><code>Match Group </code><code>sftp</code></p> <p><code>ChrootDirectory </code><code>/data/sftp/</code><code>%u</code></p> <p><code>X11Forwarding no</code></p> <p><code>AllowTcpForwarding no</code></p> <p><code>ForceCommand internal-</code><code>sftp</code> <code>-l INFO -f AUTH</code></p> </td> 
  </tr> 
 </tbody> 
</table>

凡是在用户组sftp里的用户，都可以使用sftp服务；使用[sftp][]服务连接上之后，可访问目录为/data/sftp/username

举个例子：

test是一个sftp组的用户，它通过sftp连接服务器上之后，只能看到/data/sftp/test目录下的内容

test2也是一个sftp组的用户，它通过sftp连接服务器之后，只能看到/data/sftp/test2目录下的内容

**3. 创建sftp用户**

\#此例将创建一个名称为test的sftp帐号

\#创建test sftp家目录：test目录的所有者必须是root，组最好设定为sftp，权限不高于755

<table style="margin-left:0px;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#cccccc;vertical-align:baseline;"> <p>1</p> <p>2</p> <p>3</p> <p>4</p> </td> 
   <td style="border-color:#cccccc;vertical-align:baseline;"> <p><code>mkdir</code> <code>/data/sftp/test</code></p> <p><code>chmod</code> <code>0755 </code><code>/data/sftp/test</code></p> <p><code>chown</code> <code>root:</code><code>sftp</code> <code>/data/sftp/test</code></p> <p><code>useradd</code> <code>-g </code><code>sftp</code> <code>-s </code><code>/sbin/nologin</code> <code>test</code> <code><span style="color:#ff0000;"><strong>#添加用户，参数-s /sbin/nologin禁止用户通过命令行登录</strong></span></code></p> </td> 
  </tr> 
 </tbody> 
</table>

在本地创建test用户[密钥][sftp]对（用来连接远程服务器的）：

<table style="margin-left:0px;width:643px;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#cccccc;vertical-align:baseline;"> <p>1</p> <p>2</p> <p>3</p> <p>4</p> </td> 
   <td style="border-color:#cccccc;vertical-align:baseline;width:611px;"> <p><code># mkdir /home/test/.ssh</code></p> <p><code># ssh-keygen -t rsa</code><code><span style="color:#ff0000;"> </span></code></p> <p><code># ssh-copy-id test@IP ##要远程的目标服务器IP和账户</code></p> <p><code># chown -R test.sftp /home/test</code></p> </td> 
  </tr> 
 </tbody> 
</table>

另外我们要注意，.ssh目录的权限为700，其下文件authorized\_keys和私钥的权限为600。否则会因为权限问题导致无法免密码登录。我们可以看到登陆后会有known\_hosts文件生成。

在目标远程服务器test目录下创建一个可以写的upload目录

<table style="margin-left:0px;width:643px;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#cccccc;vertical-align:baseline;"> <p>1</p> <p>2</p> </td> 
   <td style="border-color:#cccccc;vertical-align:baseline;width:611px;"> <p><code>mkdir</code> <code>/data/sftp/test/upload</code></p> <p><code>chown</code> <code>-R </code><code>test</code><code>:</code><code>sftp</code> <code>/data/sftp/test/upload</code></p> </td> 
  </tr> 
 </tbody> 
</table>

**注：****sftp服务的根目录的所有者必须是root，权限不能超过755(上级目录也必须遵循此[规则][sftp])，sftp的用户目录所有者也必须是root,且最高权限不能超过755。**

**4. 测试sftp**

<table style="margin-left:0px;width:643px;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#cccccc;vertical-align:baseline;"> <p>1</p> </td> 
   <td style="border-color:#cccccc;vertical-align:baseline;width:611px;"> <p><code>systemctl restart sshd.service</code></p> </td> 
  </tr> 
 </tbody> 
</table>

test用户密钥登陆：

<table style="margin-left:0px;width:643px;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#cccccc;vertical-align:baseline;"> <p>1</p> </td> 
   <td style="border-color:#cccccc;vertical-align:baseline;width:611px;"> <p><code>sftp test@IP ##在本地sftp登陆远程服务器</code></p> </td> 
  </tr> 
 </tbody> 
</table>

另外，将公钥拷贝到服务器的~/.ssh/authorized\_keys文件中方法有如下几种：  
1、将公钥通过scp拷贝到服务器上，然后追加到~/.ssh/authorized\_keys文件中，这种方式比较麻烦。scp -P 22 ~/.ssh/id\_rsa.pub user@host:~/。  
2、通过ssh-copy-id程序，就是我演示的方法，ssh-copyid user@host即可  
3、可以通过cat ~/.ssh/id\_rsa.pub | ssh -p 22 user@host ‘cat >> ~/.ssh/authorized\_keys’，这个也是比较常用的方法，因为可以更改端口号。

[20180331115218240]: /images/20220528/880a9b1db3be48c7bfd896eb0578de2b.png
[sftp]: http://blog.sina.com.cn/s/blog_7c2ea9010102xcnu.html