Linux SFTP 的安全防护，是每个系统管理员迟早要面对的课题。虽说 SSH 协议本身已经相对可靠，但如果配置不当或疏于管理，它依然是攻击者眼中的突破口。下面来梳理一套足够扎实的加固方案——不是什么花哨的奇技淫巧，而是每一条都能落地、经得起推敲的常规操作。
基础加固：系统和补丁
任何安全策略的起点都是保持软件最新。操作系统和 SFTP 服务器的版本一旦落后，已知漏洞就会像敞开的门一样等着攻击者。定期执行安全更新，哪怕只是每月一次，也能堵上绝大多数低质量的攻击向量。
账户与密码：第一道防线
密码策略永远不能松懈。为每个用户设置足够复杂的密码，长度至少 12 位以上，包含大小写、数字和特殊字符，并且强制定期更换。默认密码或“123456”这类简单组合必须彻底禁止——这条规则如果被执行到位，至少能过滤掉一半的自动扫描攻击。
权限控制：最小化原则
给 SFTP 用户分配权限时，永远只给“刚好够用”的权限。绝对不要用 root 账户来做文件传输——一旦被攻破，整个系统就拱手让人了。更关键的是使用 chroot jail 机制，把每个用户的活动范围锁死在自己的主目录里，这样即便账户被拿下，对方也无法窥探系统的其他区域。这项配置在 OpenSSH 中通过 ChrootDirectory 指令实现，效果立竿见影。
网络边界：防火墙与端口
用 iptables 或 firewalld 把好入口：只开放必要的端口（默认 22 号），并且尽量限制允许连接的来源 IP。如果业务场景允许，可以只放行公司内部网络或特定 翻跟斗 网段，这样外部扫描工具基本无法触及服务端口。与此同时，关闭服务器上一切不必要的服务和端口，减少攻击面——这条原则看似简单，但在实际环境中经常被忽略。
认证方式：弃用密码，拥抱密钥
密码认证天生存在弱口令、暴力破解等风险，而 SSH 密钥对（公钥+私钥）的强度远超任何密码。应鼓励所有用户生成自己的密钥对，并将公钥上传到服务器。在服务端配置中，如果可以彻底关闭密码认证（PasswordAuthentication no），那么暴力破解的攻击手段就会直接失效。当然，要确保密钥本身也得到妥善保管，私钥绝不能被泄露。
SSHD 配置：每一个参数都关乎生死
编辑 /etc/ssh/sshd_config 时，以下几项必须重点检查：
- 禁止 root 登录：
PermitRootLogin no，这条是底线。 - 禁用密码认证：
PasswordAuthentication no，配合密钥认证使用。 - 禁用挑战响应认证：
ChallengeResponseAuthentication no，减少不必要的认证通道。 - 关闭 PAM：如果不需要可插拔认证模块，
UsePAM no可以进一步缩小攻击面。 - 用户白名单与黑名单：通过
AllowUsers只允许特定用户连接，或者用DenyUsers明确拒绝某些账户的访问。
这些配置每一条都经过大量真实场景的检验，不要偷懒省略任何一项。
监控与审计：看得见的安全
启用详细的日志记录（LogLevel INFO 或 VERBOSE），并定期查看 SFTP 的访问日志。很多攻击在早期会有明显的失败尝试记录。如果能配合集中式日志管理或实时监控工具（如 fail2ban、Wazuh 等），在发现异常行为时自动触发阻断，响应效率会大幅提升。入侵检测系统（IDS/IPS）也可以部署在关键节点上，用来捕获更复杂的攻击模式。
高级加固：SELinux 与数据备份
如果系统支持 SELinux 或 AppArmor，不要嫌麻烦而将其禁用。合理配置这些强制访问控制模块，可以给 SFTP 进程再套上一层“金钟罩”，即使漏洞被利用，也能限制其造成的破坏力。最后，别忘了定期备份重要数据——安全事件无论如何预防，总有可能发生意外，到时候能快速恢复才是真功夫。
以上这些措施，没有哪一条是可有可无的。把它们逐一落地之后，Linux SFTP 服务器的安全性会提升一个量级，日常运维的底气也会足很多。
