在Linux系统下使用SSH实现端口映射的方法

从技术角度来分析，几个要求：

1、从安全方面看，sftp会更安全一点2、线上服务器提供在线服务，对用户需要控制，只能让用户在自己的home目录下活动3、用户只能使用sftp，不能ssh到机器进行操作提供sftp服务，可以用系统自带的internal-sftp，也可以使用vsftpd，这里需求不多，直接选用internal-sftp。

限制用户只能在自己的home目录下活动，这里需要使用到chroot，openssh4.8p1以后都支持chroot，我现在用的是centos6.3，自带的openssh已经是5.3p1，足够了。可以输入：#ssh-v来查看openssh的版本，如果低于4.8p1，需要自行升级安装，不在这里具体介绍了。假设有一个名为sftp的组，这个组中的用户只能使用sftp，不能使用ssh，且sftp登录后只能在自己的home目录下活动1、创建sftp组#groupaddsftp2、创建一个sftp用户，名为mysftp#useradd-gsftp-s/bin/falsemysftp#passwdmysftp3、sftp组的用户的home目录统一指定到/data/sftp下，按用户名区分，这里先新建一个mysftp目录，然后指定mysftp的home为/data/sftp/mysftp#mkdir-p/data/sftp/mysftp#usermod-d/data/sftp/mysftpmysftp4、配置sshd_config编辑/etc/ssh/sshd_config#vim+132/etc/ssh/sshd_config找到如下这行，并注释掉subsystemsftp/usr/libexec/openssh/sftp-server添加如下几行subsystemsftpinternal-sftpmatchgroupsftpchrootdirectory/data/sftp/%uforcecommandinternal-sftpallowtcpforwardingnox11forwardingno解释一下添加的几行的意思subsystemsftpinternal-sftp这行指定使用sftp服务使用系统自带的internal-sftpmatchgroupsftp这行用来匹配sftp组的用户，如果要匹配多个组，多个组之间用逗号分割当然也可以匹配用户matchusermysftp这样就可以匹配用户了，多个用户名之间也是用逗号分割，但我们这里按组匹配更灵活和方便chrootdirectory/data/sftp/%u用chroot将用户的根目录指定到/data/sftp/%u，%u代表用户名，这样用户就只能在/data/sftp/%u下活动，chroot的含义，可以参考这里：http://www.ibm.com/developerworks/cn/linux/l-cn-chroot/forcecommandinternal-sftp指定sftp命令allowtcpforwardingnox11forwardingno这两行，如果不希望该用户能使用端口转发的话就加上，否则删掉5、设定chroot目录权限#chownroot:sftp/data/sftp/mysftp#chmod755/data/sftp/mysftp错误的目录权限设定会导致在log中出现”fatal:badownershipormodesforchrootdirectoryxxxxxx”的内容目录的权限设定有两个要点：

1、由chrootdirectory指定的目录开始一直往上到系统根目录为止的目录拥有者都只能是root2、由chrootdirectory指定的目录开始一直往上到系统根目录为止都不可以具有群组写入权限所以遵循以上两个原则1）我们将/data/sftp/mysftp的所有者设置为了root，所有组设置为sftp2）我们将/data/sftp/mysftp的权限设置为755，所有者root有写入权限，而所有组sftp无写入权限6、建立sftp用户登入后可写入的目录照上面设置后，在重启sshd服务后，用户mysftp已经可以登录，但使用chroot指定根目录后，根应该是无法写入的，所以要新建一个目录供mysftp上传文件。这个目录所有者为mysftp，所有组为sftp，所有者有写入权限，而所有组无写入权限#mkdir/data/sftp/mysftp/upload#chownmysftp:sftp/data/sftp/mysftp/upload#chmod755/data/sftp/mysftp/upload7、重启sshd服务#servicesshdrestart到这里，mysftp已经可以通过sftp客户端登录并可以上传文件到upload目录。如果还是不能在此目录下上传文件，提示没有权限，检查selinux是否关闭，可以使用如下指令关闭selinux修改/etc/selinux/config文件中的selinux=""为disabled，然后重启。或者#setenforce0