Debian SFTP加密方式配置指南

在着手配置之前，我们先厘清一个核心概念，这能帮助你避免混淆，高效完成安全部署。

一、核心概念澄清：SFTP与FTPS的区别

SFTP 与 FTPS，名称相似但本质迥异。SFTP 是基于 SSH 协议的安全文件传输协议，其数据传输全程通过 SSH 通道进行加密，因此“为SFTP配置SSL”的说法并不准确。SFTP的加密、认证和完整性保护完全依赖于SSH协议栈。

如果你实际需要的是对传统FTP协议进行SSL/TLS加密，那么你需要的是FTPS。两者在端口、连接方式和配置逻辑上完全不同。本文将分别详解在Debian系统上配置高安全性SFTP以及FTPS的完整步骤。

二、配置高安全性SFTP：强化加密与访问控制

提升SFTP安全性的关键在于优化其底层的SSH服务配置。我们的目标是启用强加密算法套件，并实施严格的用户访问隔离。

• 第一步：确保OpenSSH服务器已安装：
  • 执行命令：sudo apt update && sudo apt install openssh-server
• 第二步：深度优化SSH服务端配置 /etc/ssh/sshd_config：
  • 启用SFTP子系统：推荐使用性能与安全性更佳的 internal-sftp。
    • 配置项：Subsystem sftp internal-sftp
  • 指定强加密算法：在配置文件中明确优先使用现代、安全的算法。以下是一组推荐配置，兼顾了安全性与广泛兼容性。
    • 加密算法示例：
      • Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
      • MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com
      • KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,ecdh-sha2-nistp521,ecdh-sha2-nistp384,diffie-hellman-group-exchange-sha256
  • 实施SFTP用户隔离（Chroot）：通过 Matchsftpusers）进行限制，增强安全性。
    • 典型配置示例：
      • Match Group sftpusers
      • ChrootDirectory %h # 将用户活动范围限制在其家目录
      • ForceCommand internal-sftp # 强制仅使用SFTP，禁止Shell访问
      • AllowTcpForwarding no # 禁止端口转发
      • X11Forwarding no # 禁止X11转发
      • PermitTunnel no
  • 应用配置并重启服务：保存文件后执行：sudo systemctl restart sshd 使更改生效。
• 第三步：客户端连接测试与算法验证：
  • 使用SFTP客户端连接：sftp -P 22 user@server_address
  • 验证协商算法：通过详细调试模式查看实际使用的加密套件：ssh -vvv user@server_address，在输出信息中查找“cipher”、“mac”和“kex”相关字段。
• 重要安全提示：
  • 应明确禁用已知存在安全风险的弱算法，例如 arcfour, aes128-cbc, 3des-cbc, hmac-md5, hmac-md5-96 以及 diffie-hellman-group1-sha1。
  • 若因兼容性问题必须支持旧客户端，应在服务器配置中将安全算法置于列表前列，并严格避免启用已被证实不安全的算法。

三、启用SSH密钥认证，杜绝密码攻击

相比密码，使用密钥对进行身份认证是更安全的选择。这为你的SFTP登录增加了一道强力屏障。

• 在客户端生成密钥对：
  • 推荐使用Ed25519算法（更安全高效）：ssh-keygen -t ed25519 -a 100
  • 如需最大兼容性，可使用RSA算法（密钥长度至少4096位）：ssh-keygen -t rsa -b 4096
• 上传公钥至服务器：使用便捷工具：ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server_ip
• 服务器端确认密钥认证配置：检查 /etc/ssh/sshd_config，确保包含：
  • PubkeyAuthentication yes
  • AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2
• （强烈推荐）禁用密码登录：在密钥登录测试成功后，为彻底防止暴力破解，可设置：PasswordAuthentication no 与 ChallengeResponseAuthentication no。
• 重启SSH服务：sudo systemctl restart sshd
• 安全机制解析：密钥认证负责身份验证（“你是谁”），而文件传输过程中的加密则由前面配置的SSH加密算法保障。两者协同构建了完整的SFTP安全体系。

四、如何配置FTPS（基于SSL/TLS的FTP）

如果你的应用场景或客户端要求必须使用FTPS，可以按照以下步骤使用vsftpd进行配置。

• 第一步：安装软件包：sudo apt update && sudo apt install vsftpd openssl
• 第二步：生成SSL/TLS证书（以自签名证书为例）：
  • sudo openssl req -x509 -nodes -days 3650 -newkey rsa:4096 -keyout /etc/ssl/private/vsftpd.key -out /etc/ssl/certs/vsftpd.crt
  • （可选）合并证书与密钥以供vsftpd使用：sudo cat /etc/ssl/certs/vsftpd.crt /etc/ssl/private/vsftpd.key > /etc/ssl/private/vsftpd.pem
• 第三步：配置vsftpd：编辑 /etc/vsftpd.conf，加入或修改以下关键参数：
  • ssl_enable=YES
  • allow_anon_ssl=NO
  • force_local_data_ssl=YES
  • force_local_logins_ssl=YES
  • ssl_tlsv1=YES # 启用TLSv1.2/1.3更佳，取决于vsftpd版本
  • ssl_sslv2=NO
  • ssl_sslv3=NO
  • rsa_cert_file=/etc/ssl/private/vsftpd.pem # 或指向单独的.crt和.key文件
  • rsa_private_key_file=/etc/ssl/private/vsftpd.pem
  • require_ssl_reuse=NO # 通常建议设为NO以提高兼容性
  • ssl_ciphers=HIGH # 指定使用高强度加密套件
• 第四步：重启vsftpd服务：sudo systemctl restart vsftpd
• 第五步：配置防火墙规则（以UFW为例）：
  • 开放FTPS命令端口：sudo ufw allow 21/tcp
  • 开放隐式FTPS端口：sudo ufw allow 990/tcp
  • 重要：若启用被动模式（PASV），需在配置中设置 pasv_min_port 和 pasv_max_port，并放行该端口范围。
• 连接与SSL/TLS握手验证：可使用OpenSSL命令测试：openssl s_client -connect your_server_ip:21 -starttls ftp -quiet
• 最终选择建议：SFTP与FTPS是两套独立的技术方案。SFTP通常因其单一端口、与SSH集成度高、配置相对简单而成为更主流的选择。请根据你的具体业务需求、客户端支持情况和安全审计要求做出合适的选择。