背景与原理：为什么 SFTP 提供数据加密传输
步骤1：理解 SFTP 与 SSH 的加密关系
在 CentOS 等 Linux 发行版中，SFTP 是基于 SSH 协议实现的安全文件传输方式，传输中的所有数据都通过 SSH 的加密隧道进行加密，从而保障机密性与完整性。
核心要点是：SFTP 不独立提供加密算法，它依赖于 SSH 的会话密钥、对称加密算法及 MAC 校验来保护传输过程中的数据。
因此，只要 SSH 服务正确配置、使用强加密算法并启用密钥认证，CentOS 下的 SFTP 就能实现数据在传输过程中的端到端加密传输。
步骤2：在 CentOS 中实现数据在传输中的加密传输的要点
要点包括为 SFTP 打开一个经过加密保护的通道，优先使用公钥认证，并禁用明文密码和 Root 直接登录以减少暴露面。
另外，选择合适的加密算法组和 kex（密钥交换）算法，常见的高强度算法如 aes256-gcm@openssh.com、chacha20-poly1305@openssh.com 等有助于提升数据传输的安全性。
准备工作与环境要求
步骤3：确认 CentOS 版本与软件仓库
在开始配置前，确保系统版本与仓库可用，检查当前 CentOS 版本与内核版本，以便选择合适的软件包版本。
你可以先执行以下检查命令，确认系统处于受支持的版本，并准备更新：
grep -i 'centos' /etc/os-release
uname -r
随后如果需要，执行系统更新以获得最新的 OpenSSH 版本与安全补丁，确保系统处于最新状态以提升整体安全性。
步骤4：准备用户与权限结构
在部署 SFTP 加密传输之前，准备好将要使用的用户账户与分组，创建专门的 sftp 用户组，以便后续实现对 SFTP 的分离管理与访问控制。
此外，计划好根目录权限与子目录结构，以符合 chroot 要求并避免权限冲突。
安装与启动 OpenSSH 服务
步骤5：安装 OpenSSH 服务
在 CentOS 上，OpenSSH 提供了 SFTP 的实现基础，安装 openssh-server 与相关工具是第一步。
安装完成后，它会提供 sshd 运行时的守护进程及 SFTP 子系统，确保后续可以通过 SSH 进行加密传输。
sudo yum install -y openssh-server
完成安装后，需要将 sshd 设置为开机自启，并启动服务，确保服务器随系统启动并持续提供加密传输能力。
sudo systemctl enable sshd
sudo systemctl start sshd
步骤6：启动与自启配置
除了安装，还需要确保防火墙允许 SSH 流量，并核查 SSH 服务状态，确保 sshd 正常运行，以便客户端在连接时能够建立加密通道。
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload
sudo systemctl status sshd
若服务未运行，检查日志，常见日志位于 /var/log/secure、/var/log/auth.log，以定位认证或配置问题。
配置 SFTP 以实现加密传输
步骤7：确保使用 SFTP 子系统
修改或确认 /etc/ssh/sshd_config 中的 Subsystem 行，确保指向正确的 sftp-server 程序，从而使用 SFTP 子系统提供加密的传输能力。
# /etc/ssh/sshd_config
Subsystem sftp /usr/libexec/openssh/sftp-server
要点提示：不同版本的 CentOS 可能路径略有差异，请以实际路径为准；若需要也可以使用内置的 internal-sftp 实现。
步骤8：禁用不安全选项与强制密钥认证
为提升安全性，应禁用基于口令的身份验证，开启公钥认证，并限制 Root 用户登录，从而确保只有持有私钥的客户端能够建立加密连接。
# /etc/ssh/sshd_config
PasswordAuthentication no
ChallengeResponseAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
随后在客户端配置公钥对，将公钥放置在服务器端用户的 authorized_keys 文件中，避免使用明文密码进行认证。
# 示例：在服务器端创建 .ssh 目录与 authorized_keys
mkdir -p /home/sftpuser/.ssh
chmod 700 /home/sftpuser/.ssh
touch /home/sftpuser/.ssh/authorized_keys
chmod 600 /home/sftpuser/.ssh/authorized_keys
步骤9：使用 chroot 限制用户访问范围
为进一步提升安全性，可以对 SFTP 用户应用 chroot 限制，使其只能访问规定的目录，并限制不必要的端口转发与 X11 转发。
# /etc/ssh/sshd_config
Match Group sftpusersChrootDirectory %hForceCommand internal-sftpX11Forwarding noAllowTcpForwarding no
注意：ChrootDirectory 的根目录必须归 root 拥有且具有严格的权限，子目录才可由普通用户写入，这是实现安全的关键细节。
创建与管理 SFTP 用户及权限
步骤10：创建系统用户与组
为 SFTP 设立专门的账户与分组，避免使用常规管理员账户直接进行 SFTP，以降低侵入风险。
sudo groupadd sftpusers
sudo useradd -m -g sftpusers -s /sbin/nologin sftpuser
sudo passwd sftpuser
重要原则：SFTP 用户通常设置为不可登录交互 shell（如 /sbin/nologin），仅保留通过 SFTP 的文件传输能力。
步骤11：设置主目录及权限
将用户根目录设为只读对 root，写入权限放在授权的子目录中，如 uploads，确保与 Chroot 的要求兼容，并确保所有权和权限正确配置。
sudo chown root:root /home/sftpuser
sudo chmod 755 /home/sftpuser
sudo mkdir -p /home/sftpuser/uploads
sudo chown sftpuser:sftpusers /home/sftpuser/uploads
这样，用户在 /home/sftpuser 下通过 sftp 只能访问到 uploads 子目录，并且写入权限只限于该目录，更好地控制数据传输的范围。
测试与验证
步骤12：从客户端连接并传输文件
使用 SFTP 客户端测试连接，确认传输在加密通道中进行，确保会话建立时显示已经使用 SSH 加密。
sftp -i ~/.ssh/id_rsa sftpuser@server
sftp> put localfile.txt /home/sftpuser/uploads/remote.txt
sftp> exit
在传输过程中，你应看到通过 SSH 隧道进行传输的提示，传输的内容不会以明文形式暴露在网络中。
步骤13：检查传输是否加密
要验证实际使用的加密参数，可以在客户端开启详细输出，查看握手阶段协商出的 cipher、kex、MAC 等信息，以确认加密确已启用。
ssh -vvv sftpuser@server
在输出中，你应能看到类似 cipher、kex、MAC 等字段，例如 cipher: aes256-ctr、kex: curve25519-sha256 等，表示数据传输在加密隧道中进行。
步骤14：示例会话与文件传输演示
以下为一个简化示例，展示通过 SFTP 进行文件上传的完整流程，确保服务器端的 sftp 子系统和权限设置正确无误。
# 客户端会话示例
sftp -i ~/.ssh/id_rsa sftpuser@server
sftp> put ./example.txt /home/sftpuser/uploads/example.txt
sftp> ls -l /home/sftpuser/uploads
sftp> exit
如果你看到成功的文件传输且不会在传输过程中暴露明文数据，即表示数据在传输过程中的加密传输已实现。
