Установка и настройка SFTP сервера (SSH FTP) в Windows на базе OpenSSH

С помощью официального пакета OpenSSH для Windows вы можете с легкостью организовать безопасный обмен файлами между клиентом и серверов Windows по защищенному протоколу передачи файлов SFTP (Secure FTP). В этой статье мы покажем, как с помощью Win32-OpenSSH установить SFTP сервер на Windows 10 или Windows Server 2016/2012R2.

Особенности протокола SFTP

Протокол SFTP (Secure File Transfer Protocol , Secure FTP или SSH FTP) это расширение протокола SSH, являющимся стандартом мира UNIX/Linux систем. Хотя с точки зрения пользователей он похож на FTP, но на самом деле это абсолютно другой протокол, не имеющий с FTP ничего общего. Данные между клиентом и сервером передаются по порту 22 через SSH туннель.

Основные преимущества протокола SFTP:

• Передача файлов и команд происходит внутри защищенной SSH-сессии;
• Для передачи файлов и команд используется одно соединение;
• Поддержка символических ссылок, функций прерывания, возобновления передачи, удаления файла и пр;
• Как правило, на каналах, где FTP работает медленно или с перебоем, SFTP-соединение работает более надежно и быстро;
• Возможность аутентификации с помощью SSH ключей.

Реализация SFTP в системах Windows

Исторически в операционных системах Windows отсутствуют встроенные средства для организации защищенного SFTP сервера. Для этих целей обычно использовались открытые или коммерческие решения, к примеру, Core FTP, FileZilla, CYGWIN, OpenSSH, FTP Shell, IPSwitch и пр. Однако несколько лет назад Microsoft выпустила свою версию порта OpenSSH для win32. Данный проект называется Win32-OpenSSH.

Рассмотрим процесс настройки SFTP сервера в Windows 10 и Windows Server 2016/2012 R2 с помощью пакета Win32-OpenSSH.

Установка Win32 OpenSSH в Windows 10 1803+/Windows Server 2019

В Windows 10, начиная с билда 1803, и в Windows Server 2019 пакет OpenSSH (как и RSAT) уже включен в операционную систему в виде Feature on Demand (FoD).

В Windows 10 и Windows Server 2019 вы можете установить сервер OpenSSH с помощью командлета PowerShell:

Add-WindowsCapability -Online -Name OpenSSH.Server*

Или с помощью DISM:
dism /Online /Add-Capability /CapabilityName:OpenSSH.Server

Или можно установить OpenSSH из графического интерфейса Windows 10 (Settings -> Apps -> Optional Features -> Add a feature -> Open SSH Server -> Install).

Исполняемые файлы OpenSSH находятся в каталоге:

Конфигурационный файл sshd_config находится в каталоге C:\ProgramData\ssh (каталог создается после первого запуска службы).

Файл authorized_keys и ключи хранятся в каталоге %USERPROFILE%\.ssh\.

Установка Win32 OpenSSH на Windows Server 2016/2012 R2

В предыдущих версиях Windows 10 и в Windows Server 2016/2012 R2 вы должны скачать и установить OpenSSH с GitHub (https://github.com/PowerShell/Win32-OpenSSH/releases). Нам нужна версия для 64 битной версии Windows: OpenSSH-Win64.zip (3,5 Мб).

1. Распаковываем содержимое архива в целевой каталог, к примеру: C:\OpenSSH-Win
2. Запускаем командную строку PowerShell с правами администратора и переходим в каталог OpenSSH: Cd C:\OpenSSH-Win
3. Добавьте путь к каталогу OpenSSH в переменную окружения Path;
4. Установите сервер OpenSSH: .\install-sshd.ps1 (должно появиться зеленое сообщение “sshd and ssh-agent services successfully installed”);
5. Сгенерируйте SSH ключи для сервера (нужны для запуска службы sshd): ssh-keygen.exe –A

, убедитесь, что создан каталог %programdata%\ssh.

Тестируем SFTP подключение с помощью WinSCP

Попробуем подключиться к поднятому нами SSH серверу по протоколу SFTP. Для этих целей воспользуемся свободным клиентом WinSCP.

В окне настройки подключения выберите протокол передачи файлов SFTP, укажите имя сервера и данные учетной записи Windows, под которой осуществляется подключение (возможно также настроить авторизацию по ключам).При первом подключении появится окно с предупреждением о том, что ключ хоста отсутствует в локальном кеше.

Если все настроено правильно, клиент должен подключиться к SFTP серверу и отобразить список файлов в домашнем каталоге пользователя (по умолчанию каталог с профилем пользователя).

С помощью привычного интерфейса файлового менеджера можно безопасно копировать файлы между сервером и клиентом. Передача файлов будет осуществляться по защищённому протоколу SFTP.

Удаление службы Win32 OpenSSH

Чтобы корректно удалить службу Win32 OpenSSH из системы:

1. Откроем консоль Powershell с правами администратора
2. Остановим службу SSHD: Stop-Service sshd
3. Удалим службу OpenSSD:Удалим ключи: .\uninstall-sshlsa.ps1

Настройка SFTP доступа

Если по какой-то причине потребовалось дать удаленный доступ к файлам на компьютер под управлением операционной системы из семейства Linux, то безопаснее всего будет это сделать через SFTP. SFTP обозначает SSH File Transfer Protocol, и не имеет никакого отношения к обычному FTP протоколу, а так же в разы безопаснее. Однако, приступим к настройке.

Создание пользователя для SFTP

Создаем нового пользователя:

-m — указывает необходимость создать домашнюю директорию пользователя в каталоге /home;
-s — задает оболочку пользователя — /sbin/nologin запрещает пользователю использовать shell.
crazyadmin — имя пользователя

Устанавливаем созданному пользователю пароль:

Если что-то пошло не так, то всегда можно удалить пользователя командой userdel username, например:

И создадим для нового пользователя папку chroot, о её предназначении будет рассказано ниже.

Настройка сервера SSH

Теперь отправляемся в конфиг SSH — /etc/ssh/sshd_config

Ищем следующую строчку:

Теперь отправляемся в самый конец конфига, и там дописываем:

ChrootDirectory — родительский каталог той папки, к которой мы хотим открыть доступ по SFTP. В данном примере используется директория chroot, которая лежит в папке пользователя.

Если на вашем сервере настроен доступ по SSH только через файл ключа, а нужно сделать возможность заходить по паролю, то тогда дописываем еще следующее:

После завершения всех манипуляций с SSH сервером, его нужно перезагрузить:

Настройка директорий для пользователя SFTP

Отправляемся в директорию /home и там ищем папку свежесозданного пользователя, а в ней папку chroot. Устанавливаем её владельцем пользователя root:

Устанавливаем нужные права на папку:

Теперь представим, что нам нужно предоставить доступ к нескольким папкам, и они все лежат за пределами ChrootDirectory. Выход из ситуации следующий:

Допустим нам нужно разрешить доступ к папке /var/www/sysadmin.ru. Создаем в домашнем каталоге пользотвателя /home/crazyadmin папку с названием sysadmin.ru.

Теперь смонтируем в эту папку ту директорию, доступ к которой нам нужно обеспечить:

Выставляем необходимые для редактирования права для нашей директории /var/www/sysadmin.ru:

Если в процессе монтирования директории что-то пошло не так, то можно убрать монтирование командой unmount:

На этом настройка SFTP сервера завершена.

Частые ошибки

• fatal: bad ownership or modes for chroot directory component — как писалось выше, данная ошибка появляется тогда, когда владельцем ChrootDirectory является не пользователь root, и права не равны 755.
• No supported authentication methods available (server sent public key) — сервер настроен на авторизацию по ключу. Если нужна авторизация по паролю, то в конфиге /etc/ssh/sshd_config нужно поменять значение у переменной PasswordAuthentication с no на yes, а после перезапустить сервер командой service ssh restart.

Была ли эта статья Вам полезна?

Комментарии к статье (9)

• Sergey
  • 30.07.2019 21:54

  Такая же ошибка как у Сергея, под crazyadmin не хочет подключатся, а под root сразу заходит.

  Команда: open «crazyadmin@192.168.1.50» 22
  Команда: Pass: *****
  Ошибка: Network error: Software caused connection abort
  Ошибка: Невозможно подключиться к серверу
  Статус: Отключен от сервера
  Статус: Соединяюсь с 192.168.1.50.
  Статус: Connected to 192.168.1.50
  Статус: Получение списка каталогов.
  Статус: Listing directory /root
  Статус: Список каталогов «/root» извлечен

  OpenSSH сервер обновлен, Iptables и антивирус отключены. Проверял на FileZilla и на WinSCP.

  Статья видимо утратила актуальность, либо подходит для конкретного дистрибутива.
  Мне нужно было на oracle linux настроить и начал с этой статьи, в итоге мучался с тем как всё исправить потом.
  Так вот. Более толково написано здесь https://wiki.enchtex.info/howto/ssh_sftp.
  Проверенно:
  — юзера нужно делать командой useradd -d /dev/null -M -s /bin/bash user
  Иначе ssh не работает для него нормально. Если Вы накуралесили как я, то поможет команда usermod -s /bin/bash user (вместо user имя Вашего пользователя).
  — команда рестарта ssh для Oracle Linux имеет вид service sshd restart
  — Чтобы можно было подключиться через winscp Вашим пользователем — нужно в файл /etc/ssh/sshd_config вписать как указано ниже слово в слово. Даже если имя пользователя другое — строка «Match User user» должна быть без изменений (получено методом ошибок).

  Subsystem sftp internal-sftp

  Match User user
  X11Forwarding no
  AllowTcpForwarding no
  AllowAgentForwarding no
  PermitTunnel no
  ForceCommand internal-sftp
  ChrootDirectory /home

  Если домашний каталог пользователя указать в /dev/null, то невозможно будет сделать авторизацию по ключам, так как негде будет их хранить. Все прекрасно работает и любой нормальном папкой в качестве домашнего каталога, важно чтобы владелец его был root:root и права записи были только у него (750 или 755 на ваш выбор).

  При подключении вот такое в filezilla:
  Статус: Соединяюсь с xxx.
  Ответ: fzSftp started, protocol_version=8
  Команда: open «dmitry@xxx» 22
  Команда: Pass: **********
  Ошибка: Server unexpectedly closed network connection
  Ошибка: Невозможно подключиться к серверу

  На ум приходит несколько вариантов:

  • Старая версия OpenSSH сервера, попробуйте узнать её с помощью команды sshd -V . Если версия ниже 6.3p1, то вам нужно обновить OpenSSH сервер.
  • Что-то обрывает связь между Вами и сервером (антивирус, фаирволл у клиента или сервера).

  Сделал все, как в статье. Но на команду service ssh restart Shell реагирует
  Redirecting to /bin/systemctl start ssh.service
  Failed to start ssh.service: Unit not found.

  И пользователь через WinSCP не может пробиться. И Выдает:
  Authentication log (see session log for details):
  Using username «userSFTP».
  Authentication failed.
  The server rejected SFTP connection, but it listens for FTP connections.
  Did you want to use FTP protocol instead of SFTP? Prefer using encryption.

  Причем, пользователь root заходит без проблем.

  По поводу не рабочей команды service ssh restart — какой у вас дистрибютив Linux? Попробуйте команду systemctl restart ssh .

  По поводу авторизации — а Вы уверены, что у вас пользователь действительно зовется userSFTP? По умолчанию, Linux не дает использовать заглавные буквы в имени пользователя, убедитесь в правильности его имени и вообще существования в системе.

  Ребята, подскажите пожалуйста в чем может быть проблема.
  Конфигурация:
  Port 22
  Protocol 2
  HostKey /etc/ssh/ssh_host_rsa_key
  HostKey /etc/ssh/ssh_host_dsa_key
  HostKey /etc/ssh/ssh_host_ecdsa_key
  HostKey /etc/ssh/ssh_host_ed25519_key
  UsePrivilegeSeparation yes

  KeyRegenerationInterval 3600
  ServerKeyBits 1024

  SyslogFacility AUTH
  LogLevel INFO

  LoginGraceTime 120
  PermitRootLogin no
  StrictModes yes

  RSAAuthentication yes
  PubkeyAuthentication yes

  IgnoreRhosts yes
  RhostsRSAAuthentication no
  HostbasedAuthentication no

  X11Forwarding yes
  X11DisplayOffset 10
  PrintMotd no
  PrintLastLog yes
  TCPKeepAlive yes

  AcceptEnv LANG LC_*

  Subsystem sftp internal-sftp

  Match User testuser
  X11Forwarding no
  AllowTcpForwarding no
  AllowAgentForwarding no
  PermitTunnel no
  ForceCommand internal-sftp
  ChrootDirectory %h/chroot

  (/home/testuser — root:root; /home/testuser/chroot — testuser:testuser)

  1. В параметре MatchUser — работает, только если указывать группу, а не пользователя. Если прописывать параметр MatchGroup — то не работает.
  2. При подключении вижу все корневые папки.

  В логах есть что-нибудь, какие-нибудь ошибки?

  И как минимум я вижу, что у /home/testuser владельцем должен быть testuser, а у /home/testuser/chroot владельцем должен быть root:root.

  Подключение к серверу по SSH и SFTP.

  Что такое протоколы SSH и SFTP?

  SSH (англ. Secure Shell — «безопасная оболочка») — сетевой протокол прикладного уровня, позволяющий производить удалённое управление операционной системой и туннелирование TCP-соединений (например, для передачи файлов). Схож по функциональности с протоколами Telnet и rlogin, но, в отличие от них, шифрует весь трафик, включая и передаваемые пароли. SSH допускает выбор различных алгоритмов шифрования. SSH-клиенты и SSH-серверы доступны для большинства сетевых операционных систем.

  SFTP (англ. SSH File Transfer Protocol) — протокол прикладного уровня, предназначенный для копирования и выполнения других операций с файлами поверх надёжного и безопасного соединения. Протокол разработан группой IETF как расширение к SSH-2, однако SFTP допускает реализацию и с использованием иных протоколов сеансового уровня.

  Для того, что бы подключится по SSH/SFTP необходимо использовать данные для доступа, которые были отправлены на электронную почту, указанную вами при регистрации услуги VPS/VDS. Нам необходимо знать IP адрес сервера, пароль для пользователя root.

  Подключение к серверу по SSH из Mac OS X

  Для подключения к серверу по SSH в операционных системах семейства MacOS X имеется стандартное приложение — Terminal.app.

  В Доке выберите Finder.

  

  Зайдите в раздел Applications, выберите каталог Utilities.

  

  Далее, выберите утилиту Terminal.app и кликните ней.

  

  В открывшемся окне терминала введите команду

  Измените 111.222.333.444 на IP адрес Вашего сервера.

  

  Если это первый заход на сервер, то клиент предложит запомнить хост, к которому выполняется подключение. Подтвердить это действие можно набрав в консоли слово yes и нажав клавишу Enter. В противном случае наберите no и нажмите Enter.

  Далее, необходимо ввести пароль, если все данные были указаны верно, клиент успешно подключится к серверу.

  Так выглядит процесс подключения к виртуальному серверу в терминале Mac OS X:

  Подключение к серверу по SSH из Linux

  Пользователи операционных систем Unix могут использовать стандартное приложение Terminal для подключения к виртуальному серверу по SSH протоколу.

  

  В открывшемся окне терминала введите команду

  где вместо 111.222.333.444 укажите IP адрес сервера, который был прислан на контактный адрес электронной почты после активации услуги VPS/VDS.

  

  Если это первый вход на сервер, то клиент предложит запомнить хост, к которому выполняется подключение. Подтвердить это действие можно набрав в консоли слово yes и нажав клавишу Enter. В противном случае наберите no и нажмите Enter.

  Введите пароль. Если все данные были указаны верно, клиент успешно подключится к площадке.

  

  Если, ввести команду:

  Вы увидите список содержимого корневого каталога вашего сервера.

  

  Подключение к серверу по SSH из Windows

  Для подключения к серверу по протоколу SSH в операционных системах семейства Windows не предусмотрены штатные средства, поэтому перед работой по SSH необходимо выбрать и установить SSH клиент (FireSSH для Firefox, Secure Shell для Google Chrome, PuTTY, OpenSSH и другие).

  Для пользователей Windows мы рекомендуем SSH-клиент Putty, который представляет собой исполняемый EXE-файл и не требует установки. Загрузить Putty можно с официального сайта разработчика программы: http://www.putty.nl/download.html.

  После открытия программы:

  

  В открывшейся консоле — введите полученный ранее Логин и Пароль.

  

  Если это первый вход на сервер, то клиент предложит запомнить хост, к которому выполняется подключение. Подтвердить это действие можно набрав в консоли слово yes и нажав клавишу Enter. В противном случае наберите no и нажмите Enter.

  Если авторизационные данные были введены верно, клиент успешно подключится к площадке.

  Если, ввести команду:

  Вы увидите список содержимого корневого каталога вашего сервера.

  

  Подключение к серверу по SFTP

  Этот протокол используется для загрузки файлов на сервер.

  Для загрузки данных на сервер вам понадобятся данные для доступа к серверу и любой FTP -клиент, например, WinSCP или Filezilla.

  Для примера, рассмотрим подключение с помощью программы Filezilla. В верхнем меню выберите Менеджер сайтов.

  

  На правой стороне клиента — вы увидите, что находитесь в каталоге root.

  Для, того что бы загрузить файлы на сайт, необходимо перейти в каталог /home/clients/info/domains/

  Читайте также:  Windows server 2019 client access license 1 user clientaccesslicense perpetual