Sftp 服务限制用户访问权限

1、sftp 服务限制用户访问权限sftp 服务限制用户访问权限 sftp 服务要想限制用户的访问权限（即sftp服务用户只能访问特定的文件目录),那么系统的openssh 服务软件的版本必须是4.8p1及以上版本才支持，如果低于该版本，就要首先升级openssh版本。第一步:查看openssh软件版rootoracle2 # rpm qa | grep sshopenssh-4。3p236。el5opensshclients-4。3p236。el5opensshserver4.3p236。el5openssh-askpass-4。3p236。el5或者：rootoracle2 # ssh -vo

2、penssh_4。3p2， openssl 0.9。8e-fipsrhel5 01 jul 2008发现操作系统的openssh软件是4.3p2,低于4.8p1版本,所以需要做升级。第二步：下载最新的openssh软件openssh是免费的，可以到官网上进行下载： 。com当前最高版本是openssh6.0，我们就可以下载该版本:openssh6。0p1.tar.gz下载的时候，我们需要看一看官方安装指导文档installation instructions ，里面有安装该版本的注意事项和安装步骤说明，最好仔细阅读一下。第三步:确认openssh软件安装条件在官方安装指导文档中提到,安装ope

3、nssh6.0需要具备两个条件：you will need working installations of zlib and openssl.zlib 1.1。4 or 1.2。1。2 or greater （ealier 1。2.x versions have problems)： http：/。org/zlib/openssl 0.9。6 or greater：。/上面指出了，openssh6。0安装所依赖的两款软件zlib和openssl的最低版本，如果服务器的软件版本不符合要求，就要先升级该两款软件。首先我们需要确认服务器上zlib和openssl软件的版本：r

4、ootoracle-2 # rpm -qa | grep -i zlibzlibdevel1。2。33perlcompress-zlib-1。42-1.fc6zlib-1。2.3-3perl-iozlib-1。044。2.1rootoracle2 # rpm -qa | grep i opensslpyopenssl-0。61.p24.7。2。2openssl-devel0.9.8e12。el5openssl-0.9。8e-12.el5可以看到,zlib 的版本是1。42 ，openssl的版本是0.9。8，满足openssh6。0安装的要求。第四步：卸载openssh软件安装之前，有下面几个

5、工作需要完成：（1)停sshd服务rootoracle-2 # service sshd stopstopping sshd: ok (2）备份sshd文件说明：在卸载之前需要将 /etc/init。d/sshd 文件做个备份，安装完成后,需要再将备份的sshd文件拷贝到/etc/init。d/目录中，这样可以保证升级完成后可以继续使用service sshd start/stop/restart 的方式管理sshd服务，否则将不可使用。rootoracle2 cp /etc/init.d/sshd /root/sshd(3)卸载服务器上已经存在的openssh软件卸载openssh,通过rp

6、m -qa 命名查询出需要卸载的rpm软件包， 再用 rpm e 命令卸载：查询：rootoracle2 # rpm qa grep i opensshopenssh-4.3p2-36.el5opensshclients-4。3p2-36.el5opensshserver-4.3p236.el5opensshaskpass-4.3p2-36.el5卸载:rootoracle-2 # rpm e openssh-4.3p2-36.el5 depsrootoracle2 rpm e openssh-clients-4。3p236。el5 -depsrootoracle2 rpm -e openss

7、h-server4。3p2-36.el5 -depsrootoracle-2 # rpm e opensshaskpass-4。3p236.el5 -deps（4）删除 /etc/ssh/ 目录下的ssh文件rm -rf /etc/ssh/*第五步:安装openssh软件解压下载的软件包 openssh6。0p1。tar。gzrootoracle-2 tar zxvf openssh6.0p1。tar。gz安装openssh软件：进入解压出的文件夹,按照顺序执行下面的编译和安装命令：rootoracle-2 # 。/configure prefix=/usr sysconfdir=/etc/s

8、sh with-pam with-md5passwords mandir=/usr/share/manrootoracle-2 makerootoracle-2 # make install执行完成后，就可以用 ssh v 命名查看openssh的版本,验证安装结果：rootoracle-2 # ssh -vopenssh_6.0p1, openssl 0。9。8efips-rhel5 01 jul 2008可以看到版本已经变成6。0p1了，说明安装没有问题。接下来，恢复sshd文件，将备份的sshd文件复制到 /etc/init.d/ 目录下:rootoracle-2 # cp /root/

9、sshd /etc/init。d/sshd 测试sshd服务的启动和停止：rootoracle-2 # service sshd restartstopping sshd： ok starting sshd: ok ok，到这里，openssh 的升级就做完了。注意：这样升级完成,在服务器关机启动后，sshd服务不会自动启动，为了使sshd服务在开机时自动启动，我们需要执行下面的命令：rootoracle2 # chkconfig add sshdrootoracle-2 # chkconfig -level 123456 sshd on这样开机后就可以自动启动sshd服务了.参考内容：htt

10、p：/第六步：配置sftp服务用户的访问权限（1）创建sftp用户的主根目录rootoracle-2 mkdir -p /home/sftprootoracle2 chmod -r 755 /home/sftp（2）创建sftp用户组和一个sftp用户rootoracle-2 # groupadd sftprootoracle2 useradd -g s /home/s blogrootoracle-2 passwd blog（3）权限设置设置 /etc/ssh/sshd_config配置文件,通过chroot限制用户的根目录.rootoracle2 # vi /etc/ssh/sshd_co

11、nfig override default of no subsystems注释掉原来的subsystem设置subsystem sftp /usr/libexec/s#启用internal-s s # example of overriding settings on a per-user basis#match user anoncvs x11forwarding no# allowtcpforwarding no forcecommand cvs server#限制blog用户的根目录match user pay chrootdirectory /home/s x11forwarding

12、 no allowtcpforwarding no forcecommand internal-sftp保存退出，重启sshd服务：rootoracle2 service sshd restart（4）测试sftp权限控制使用blog用户尝试登录sftp ，发现无法登陆,给出的提示也很难看懂，什么原因呢？原来要使用chroot功能实现用户根目录的控制，目录权限的设置非常重要,否则将会无法登陆。目录权限设置上要遵循2点：chrootdirectory设置的目录权限及其所有的上级文件夹权限，属主和属组必须是root；chrootdirectory设置的目录权限及其所有的上级文件夹权限，只有属主能拥

13、有写权限,也就是说权限最大设置只能是755。如果不能遵循以上2点，即使是该目录仅属于某个用户，也可能会影响到所有的sftp用户。设置目录的属主和权限：rootoracle2 # chown root:root /home/sftp /home/srootoracle2 chmod 755 /home/s由于上面设置了目录的权限是755，因此所有非root用户都无法在目录中写入文件。我们需要在chrootdirectory指定的目录下建立子目录,重新设置属主和权限。以blog目录为例：rootoracle-2 mkdir /home/srootoracle-2 chown blog：srootoracle2 chown 775 /home/s设置完成后，我们再用blog用户登录sftp，