如何配置SFTP替代FTP以提高数据传输安全性？

为什么必须放弃FTP？

FTP协议存在三个致命安全缺陷：

• 明文传输：所有数据包括密码都以未加密形式传输
• 端口暴露：需要开放多个端口增加攻击面
• 弱认证机制：仅依靠用户名/密码进行验证

SFTP核心优势

详细配置指南（Linux环境）

1. 安装OpenSSH服务

# Ubuntu/Debian
sudo apt update && sudo apt install openssh-server

# CentOS/RHEL
sudo yum install openssh-server

2. 关键安全配置

编辑/etc/ssh/sshd_config文件：

# 禁用root登录
PermitRootLogin no

# 限制用户组
AllowGroups sftp-users

# 启用SFTP子系统
Subsystem sftp internal-sftp

# 配置chroot限制
Match Group sftp-users
    ChrootDirectory /var/sftp
    ForceCommand internal-sftp
    AllowTcpForwarding no
    X11Forwarding no

3. 创建专用文件系统

sudo mkdir -p /var/sftp/uploads
sudo groupadd sftp-users
sudo useradd -g sftp-users -d /uploads -s /sbin/nologin sftpuser
sudo chown root:root /var/sftp
sudo chmod 755 /var/sftp
sudo chown sftpuser:sftp-users /var/sftp/uploads

高级安全增强措施

密钥认证配置

生成SSH密钥对：

ssh-keygen -t ed25519
ssh-copy-id sftpuser@yourserver

在sshd_config中禁用密码登录：

PasswordAuthentication no
AuthenticationMethods publickey

网络层防护

• 配置防火墙仅允许可信IP访问22端口
• 设置fail2ban防御暴力破解
• 考虑将SFTP端口改为非标准端口

客户端连接方式

常见客户端配置方法：

FileZilla

1. 选择"文件"→"站点管理器"
2. 新建站点，协议选择SFTP
3. 主机填写服务器IP，端口22
4. 登录类型选择"密钥文件"
5. 选择私钥文件（.ppk格式）

命令行连接

sftp -i ~/.ssh/id_ed25519 sftpuser@yourserver

迁移注意事项

• 提前通知所有用户迁移计划
• 设置并行运行过渡期（1-2周）
• 提供详细的客户端配置指南
• 监控日志确保无遗留连接