CentOSSFTP配置常见问题解答

一快速排查清单

确认SSH服务已运行并开机自启：

sudosystemctlstatussshd
，必要时执行
sudosystemctlstartsshd&&sudosystemctlenablesshd
。

核对/etc/ssh/sshd_config关键项：推荐使用

Subsystemsftpinternal-sftp
，并为受限用户配置
MatchUser|Group...ForceCommandinternal-sftp
。

校验目录与权限：

ChrootDirectory
指定目录及其上级目录必须属主为root、权限不超过755；如需写入，给用户在子目录单独授权。

开放防火墙：

sudofirewall-cmd--permanent--add-service=ssh&&sudofirewall-cmd--reload
（或放行22/tcp）。

检查SELinux：

getenforce
查看状态；如受限可临时
sudosetenforce0
验证，再按需设置
setsebool-Psftp_home_diron
或调整策略。

查看日志：

sudotail-f/var/log/secure
定位认证、权限、配置错误。

测试连接：

sftpuser@host
或使用FileZilla/WinSCP。

二高频问题对照表

症状常见原因解决要点
连接超时或被拒绝防火墙未放行22/tcp、SSH未启动、端口被占用放行端口并重启防火墙；
systemctlrestartsshd
；`ss-tnlp
Receivedunexpectedendoffile
ChrootDirectory
权限不对、上级目录可写、SELinux限制
ChrootDirectory
及上级目录属主root、权限≤755；必要时
setenforce0
验证，或
setsebool-Psftp_home_diron
登录后无法列目录或写入根目录不可写、子目录未单独授权、权限过宽根目录仅root可写；为用户创建可写子目录并
chownuser:group
仅SFTP可用、禁止Shell使用
ForceCommandinternal-sftp
且
Match
正确		在
Match
块内设置
ForceCommandinternal-sftp
，并禁用不必要转发
速度慢GSSAPI认证协商耗时在
sshd_config
设置
GSSAPIAuthenticationno
并重启
root无法SFTP
PermitRootLogin
或
PasswordAuthentication
限制		按需开启
PermitRootLoginyes
或
PasswordAuthenticationyes
并重启（生产环境慎用）
目录列表失败（被动模式）误将FTP的被动端口问题套用到SFTPSFTP基于SSH，无需开放额外被动端口；若使用FTPS才需配置被动端口范围

三安全加固与最佳实践

使用internal-sftp+ChrootDirectory将用户限制在其目录；

MatchGroupsftpusers
集中管理。

在

Match
块内设置：
ForceCommandinternal-sftp
、
AllowTcpForwardingno
、
X11Forwardingno
，仅开放SFTP。

目录规范：Chroot根目录及上级目录属主root、权限755；为用户创建可写子目录单独授权（如

upload
）。

认证方式：优先SSH密钥，禁用密码或结合Fail2ban降低暴力破解风险。

最小权限：按需创建sftpusers组，禁止rootSFTP登录（除非有明确需求）。

合规审计：保留并检查/var/log/secure日志，定期更新OpenSSH。

四最小可用配置示例

创建用户与目录

sudogroupaddsftpuserssudouseradd-gsftpusers-s/sbin/nologinsftpusersudopasswdsftpusersudomkdir-p/data/sftp/sftpuser/uploadsudochownroot:root/data/sftp/sftpusersudochmod755/data/sftp/sftpusersudochownsftpuser:sftpusers/data/sftp/sftpuser/uploadsudochmod755/data/sftp/sftpuser/upload

配置/etc/ssh/sshd_config（在文件末尾追加）

Subsystemsftpinternal-sftpMatchGroupsftpusersChrootDirectory/data/sftp/%uForceCommandinternal-sftpAllowTcpForwardingnoX11Forwardingno

使配置生效

sudosystemctlrestartsshdsudofirewall-cmd--permanent--add-service=ssh&&sudofirewall-cmd--reload

连接测试

sftpsftpuser@your_server_ip

说明：

%u
会自动替换为用户名；如需自定义根目录，请确保其为root所有且权限≤755。

五仍无法解决时的定位思路

实时查看日志：

sudotail-f/var/log/secure
，从报错关键词（如
fatal
,
Permissiondenied
,
Badownership
）定位是配置、权限还是认证问题。

逐条回滚最近修改，保留最小可复现配置；必要时用

setenforce0
验证是否为SELinux限制。

网络连通性：

ping
、
telnetyour_ip22
或
nc-vzyour_ip22
检查端口可达性。

资源与连接限制：检查

MaxStartups
、
top
资源占用，排除连接数或性能瓶颈。