SFTP配置错误怎么排查Debian

Debian SFTP配置错误排查清单

一 快速自检

• 确认 SSH 服务已运行并开机自启：sudo systemctl status ssh，若未运行执行 sudo systemctl start ssh && sudo systemctl enable ssh。
• 校验配置语法并应用：sudo sshd -t && sudo systemctl restart ssh（Debian 上服务名为 ssh，某些教程写作 sshd）。
• 查看实时日志定位问题：sudo tail -f /var/log/auth.log、sudo tail -f /var/log/syslog，或使用 sudo journalctl -u ssh -f。
• 如启用防火墙，放行 22 端口：sudo ufw status、sudo ufw allow 22（或对应防火墙工具）。
• 若系统启用 AppArmor，检查是否被策略拦截：grep -i apparmor /var/log/syslog，必要时查看 /var/log/audit/audit.log。
• 客户端快速连通性测试：sftp -P 22 用户名@服务器IP，观察报错关键词（如 permission denied、connection closed、timeout）。

二 配置文件关键点

• 确认 Subsystem sftp 行正确：使用内置更高效与安全，推荐 Subsystem sftp internal-sftp；如使用外部程序，路径需存在（常见为 /usr/lib/openssh/sftp-server，可用 find /usr -name sftp-server 2>/dev/null 确认）。
• 使用 Chroot 限制目录时，推荐在 Match 段内设置：ChrootDirectory %h（或指定目录），并配合 ForceCommand internal-sftp、X11Forwarding no、AllowTcpForwarding no、PermitTTY no。
• 典型最小可用示例（放到文件末尾，注意 Match 块缩进）：

  Subsystem sftp internal-sftp
  
  Match Group sftp_users
      ChrootDirectory %h
      ForceCommand internal-sftp
      X11Forwarding no
      AllowTcpForwarding no
      PermitTTY no
  

• 修改后务必执行：sudo sshd -t && sudo systemctl restart ssh。

三 权限与目录结构

• 使用 ChrootDirectory %h 时，用户的家目录（如 /home/用户名）及其上级目录必须归 root:root 且权限为 755，否则 internal-sftp 会拒绝登录。
• 为用户创建可写目录（如上传目录），并归属相应用户/组，例如：

  sudo mkdir -p /home/用户名/upload
  sudo chown 用户名:用户名 /home/用户名/upload
  sudo chmod 755 /home/用户名/upload
  

• 若需将用户限制到自定义目录（如 /sftp/www-data），该目录及其父目录必须归 root:root 755，可写子目录再交给业务用户：

  sudo mkdir -p /sftp/www-data/website_files
  sudo chown root:root /sftp/www-data
  sudo chmod 755 /sftp/www-data
  sudo chown www-data:www-data /sftp/www-data/website_files
  sudo chmod 755 /sftp/www-data/website_files
  

• 禁止 Shell 登录（可选，更安全）：sudo usermod -s /sbin/nologin 用户名。

四 常见报错对照与处理

五 验证与回归测试

• 语法与配置回归：sudo sshd -t 无输出即为通过；再 sudo systemctl restart ssh。
• 连接与目录限制验证：sftp -P 22 用户名@服务器IP，登录后 pwd 应显示 /（即 Chroot 根），执行 cd .. 应失败；在可写目录尝试上传/下载验证权限。
• 日志复核：sudo tail -n 50 /var/log/auth.log 关注 Accepted/Failed、subsystem、chroot 等关键日志行。
• 安全建议：为 SFTP 用户启用 SSH 密钥登录、禁用密码；按需限制端口转发与 TTY；定期审计日志与目录权限。