icon Tipsというかメモ


TOP » Unix :: 全般 » 簡単お手軽に FTP サーバーを公開する（sftp, chroot の利用）
最近の変更

icon Contents





お問合せ:  メールフォーム

̃Gg[͂ĂȃubN}[Nɒlj

簡単お手軽に FTP サーバーを公開する（sftp, chroot の利用）



開発案件などにおいて、効率的な作業を行う目的で、自社（または個人）で所有するサーバーの一部の領域を第三者に公開（一時的に開放）したいケースがあったりします。

例えば、

  • デザイナーさんに作品データや HTML 一式をアップロードしてもらい、ブラウザで確認できる状態を作ってもらう
  • パートナーさんに WordPress の構築を代行してもらいたい
  • パートナーさんに仮納品の場所として提供したい
  • etc …

そこまで頻繁に発生する事案でない場合、それだけのために FTP サーバーをセットアップするのも手間かと思います。

今回 sftp と chroot を利用して、簡単お手軽にパートナーさん等に公開するサーバー領域を確保できたので、その時のメモになります。

用語の確認

sftp とは？（ついでに ftps との違いも）

SFTPSSH File Transfer Protocol（略称：SFTP）とは、SSHの仕組みを使用しコンピューター間でファイルを安全に転送するプロトコルである。 sftpは、このプロトコルを利用するコマンドの名前である。 OpenSSHには、sftpコマンドがサブシステムとして含まれる。by Wikipedia
FTPSFTPS (File Transfer Protocol over SSL/TLS) は、FTPで送受信するデータをSSLまたはTLSで暗号化するプロトコル。 IETFにより、RFC 2228やRFC 4217で標準化されている。 通常のWell-known Portは、990/tcp。by Wikipedia
  • SFTP は暗号化とプロトコルが SSH ベースであり、FTPS は暗号化が SSL/TLS ベースである　という理解で問題なさそうです。
  • また、括りとしては、SFTP は SSH のサブシステム、FTPS は FTP を SSL でラップしたプロトコル　という感じでしょうか。

chroot とは？

chrootアクセスした領域以外への移動を禁止します。つまりアクセスして来たユーザーをある領域内に閉じ込めてしまいます。

今回は、sftp での接続を目的としますが、純粋な ssh で接続させることも可能です。
その場合、コマンドやライブラリ（lib64など）を予め用意（コピー）する必要があります。
情報が必要な方はググッてみてください。

今回の環境

OSCentOS 6.5
opensshOpenSSH_5.3p1

方針

  • sftp ユーザーのプレフィクスを「sftp-」とします。
    • プレフィクスを決めておくと、設定で「sftp-*」のようにワイルドカードが利用でき、一元管理できるので便利です。
    • また、プレフィクスを見ただけで、正規の UNIX ユーザーでないとすぐに判断できます。
  • ユーザーを閉じ込めるためのルートディレクトリを「/home/chroot/」とします。
    • 今回 chroot としていますが、何でもよく、用途に合わせて適宜変更してください。
    • また、/home 配下である必要もありません。
  • ユーザーに開放するディレクトリを「/home/chroot/<SFTP-USER>/htdocs」とします。
    • ブラウザからアクセスさせるためには、上位階層のパーミッションを 755 などにする必要があるかもしれません（未確認）

作業メモ

root になる

% sudo su

LINUX ユーザーとグループの作成

  • ユーザー：sftp-user01（id: 20001）
  • グループ：sftp-user01（id: 20001）
    • 今回は上記としていますが、適宜変更してください。
# groupadd sftp-user01 -g 20001
# useradd -g 20001 -s /sbin/nologin -u 20001 -d /home/chroot/sftp-user01 sftp-user01
# passwd sftp-user01（パスワード認証の場合）
  • 今回は鍵認証でアクセスさせるため、パスワードを設定しませんでした。
  • パスワード認証の場合は passwd コマンドでパスワードを設定してください。
重要

ChrootDirectory先のディレクトリ（/home/chroot/sftp-user01）の所有者は「root」、パーミッションは「755」にしておく 

# ls -l /home/chroot
drwxr-xr-x  4 root    root    4096 11月 19 16:11 2018 sftp-user01

公開ディレクトリの作成（htdocs）

# cd /home/chroot/sftp-user01
# mkdir htdocs
# chown sftp-user01:sftp-user01 htdocs

sshd_config の設定

# vi /etc/ssh/sshd_config

# override default of no subsystems
#Subsystem      sftp    /usr/libexec/openssh/sftp-server
Subsystem       sftp    internal-sftp

Match User sftp-*
    ChrootDirectory ~
    X11Forwarding no
    AllowTcpForwarding no
    ForceCommand internal-sftp
  • ※ 必ず、Match User … より上に Subsystem を書いてください。

sshd 再起動

# /etc/init.d/sshd restart

接続確認

  • sftp プロトコルに対応したクライアントアプリケーションで接続を試してください。
  • →　Cyberduck（Mac）、WinSCP（Win）、FileZilla（Mac, Win）など
    • htdoc 配下で、ファイルやディレクトリの作成、リネーム、削除、パーミッションの変更などが出来ることも確認します。
    • chroot の効果（上位ディレクトリへの移動ができないこと）も確認します。





unix/general/sftp_chroot.txt
文書の先頭へ