Com configurar SFTP per a la transferència segura de fitxers

SFTP (SSH File Transfer Protocol) proporciona càrrega i descàrrega de fitxers xifrats sense un dimoni FTP separat. A Linux VPS, SFTP està integrat a OpenSSH: aquesta guia mostra la configuració segura als servidors Hiddence.

SFTP amb usuari dedicat

Creeu un usuari només per a la càrrega de fitxers:

sudo adduser sftpuser
sudo passwd sftpuser

# Test SFTP from client:
sftp sftpuser@YOUR_VPS_IP

# Or use FileZilla: Protocol SFTP, port 22

Chroot jail (recomanat)

Restringeix l'usuari a un sol directori per seguretat:

sudo mkdir -p /var/sftp/sftpuser/upload
sudo chown root:root /var/sftp/sftpuser
sudo chmod 755 /var/sftp/sftpuser
sudo chown sftpuser:sftpuser /var/sftp/sftpuser/upload

sudo nano /etc/ssh/sshd_config

# Add at end:
Match User sftpuser
    ChrootDirectory /var/sftp/sftpuser
    ForceCommand internal-sftp
    AllowTcpForwarding no
    X11Forwarding no

sudo systemctl restart sshd

Connecteu-vos des de l'escriptori

Els clients populars admeten SFTP des de la caixa:

• FileZilla — Amfitrió: sftp://YOUR_VPS_IP, Port: 22, Tipus d'inici de sessió: Normal
• WinSCP — Protocol: SFTP
• macOS Finder — Connecteu-vos al servidor: sftp://user@IP
• Linux: sftp user@IP o fitxer scp user@IP:/path/
• VS Code: extensió SSH remota per a l'edició directa

Llista de control de seguretat

• Utilitzeu claus SSH en lloc de contrasenyes per als usuaris SFTP quan sigui possible
• No compartiu mai l'accés SFTP root amb tercers
• Desactiveu l'autenticació de contrasenya per a root a sshd_config
• Utilitzeu chroot per a comptes només de càrrega
• Combina amb Fail2ban al port SSH
• Tallafoc: permeteu el port 22 només des d'IP de confiança si és possible

Consells

• SFTP no és FTP: no obriu el port 21 tret que necessiteu FTP heretat
• Per a WordPress, preferiu les claus SSH + sftp a wp-config o utilitzeu eines de desplegament
• rsync sobre SSH és més ràpid per a grans migracions
• Comproveu els permisos si la càrrega falla (755 directoris, 644 fitxers)
• Després dels canvis a sshd_config, proveu sempre SSH en una segona sessió abans de tancar-lo