sftp限制用户目录

Posted 2022-05-05

背景说明：

业务部门需通过sftp(22端口)用堡垒机访问应用服务器，以替换欢迎语语音。

?

环境说明：

主机名	操作系统版本	ip	备注
redhat6.8	Red Hat Enterprise Linux Server release 6.8 (Santiago)	172.27.9.199	应用服务器，关闭selinux
localhost	Red Hat Enterprise Linux Server release 6.8 (Santiago)	172.27.9.189	sftp连接测试

?

vsftp搭建安装详见：Redhat6.8搭建ftp服务器并限制用户目录和访问ip

1.新建ftp用户

[root@redhat6 ~]# useradd -d  /opt/AppServer/apache-tomcat-6.0.35/webapps/ROOT/umswav/orgwav -s /sbin/nologin

/opt/AppServer/apache-tomcat-6.0.35/webapps/ROOT/umswav/orgwav为欢迎语存放路径，新建ftp用户user-sftp并设置其家目录为该路径，该用户为ftp专用用户，不能直接ssh登录。

2.修改配置文件sshd_config

[root@redhat6 ~]# view /etc/ssh/sshd_config
#Subsystem      sftp    /usr/libexec/openssh/sftp-server

Subsystem sftp internal-sftp
Match User user-sftp   #ftp的用户名 
      ChrootDirectory /opt/AppServer/apache-tomcat-6.0.35/webapps/ROOT/umswav   #限制ftp用户的目录
      AllowTCPForwarding no
      X11Forwarding no
      ForceCommand internal-sftp

user-sftp为ftp用户，/opt/AppServer/apache-tomcat-6.0.35/webapps/ROOT/umswav为限制目录,即不能往上切换

3.修改目录权限

3.1 修改限制目录权限

[root@redhat6 ~]# chmod -R 755 /opt

限制目录属主必须为root且权限不能高于755（可以取值755或者750），该目录下ftp用户可以get但不能put。

3.2 修改上传目录权限

[root@redhat6 ~]# chown user-sftp:user-sftp /opt/AppServer/apache-tomcat-6.0.35/webapps/ROOT/umswav/orgwav/

将上传目录的属主更改为ftp用户，这样就有权限上传文件。

4.重启ssh服务

[root@redhat6 ~]# service sshd restart
Stopping sshd:                                             [  OK  ]
Starting sshd:                                             [  OK  ]

5.测试

通过sftp登录并测试上传下载和目录限制情况