SFTP配置错误怎么排查

SFTP（SSH File Transfer Protocol）说到底就是基于SSH加密通道的文件传输协议，稳定、安全，日常运维中非常常用。但一旦配置出了问题，连接不上、权限报错、莫名其妙被拒——那是真让人头疼。别慌，下面这几步排查思路，基本能把绝大多数问题给揪出来。

1. 先确认SSH服务是不是活着
   这是最基础的一步，但也是最容易被忽略的。SSH服务没跑起来，SFTP自然也别想连。在Linux系统上执行systemctl status sshd，看一眼状态，如果没启动，先systemctl start sshd再说。

2. 翻翻SFTP的配置文件
   SFTP的配置一般嵌在SSH的主配置文件里，路径通常是/etc/ssh/sshd_config。打开这个文件，重点检查几个关键项：Subsystem sftp这一行有没有被注释掉？Match Group之类的分组限制是否写对了？语法拼写有没有笔误？有时候一个字母错了，整个服务就罢工。

3. 用户权限是不是设对了
   SFTP连接所用的用户，权限必须正确。尤其是家目录的权限，如果目录或文件的所有者/权限不对，SSH会直接拒绝访问。经验表明，家目录的权限建议设为755或700，但绝不能是777。同时检查chroot目录（如果配置了）的权限，这也是常见坑点。

4. 防火墙有没有拦着22端口
   SFTP默认走22端口，如果服务器上了防火墙，记得检查这个端口是否开放。用iptables -L或firewall-cmd --list-all看一下规则，别让防火墙成了“隐形杀手”。

5. 日志文件里藏着线索
   遇到问题别瞎猜，直接去看日志。多数Linux系统下，SSH相关的日志会记录在/var/log/auth.log或/var/log/secure里。打开日志，搜索最近的连接失败记录，里面常常会直接告诉你原因——比如“Permission denied”、“No supported authentication methods”等等。这条信息比任何猜测都管用。

6. 用客户端实际连一下试试
   换个SFTP客户端（比如FileZilla、WinSCP、或者直接命令行sftp user@host）去连接，观察报错信息。如果某个客户端能连而另一个不能，那问题很可能出在客户端配置上；如果全部连不上，那基本可以确定是服务端的问题。

7. SELinux或AppArmor是不是在捣乱
   如果服务器启用了SELinux或AppArmor这类安全模块，它们可能会限制SFTP的某些操作。可以先用getenforce查看SELinux状态，如果是Enforcing，试试临时设置为Permissive（setenforce 0），再测试SFTP是否恢复正常。如果问题消失，说明需要调整对应的安全策略，而不是简单关掉它。

8. 改完配置记得重启SSH服务
   以上所有修改完成后，一定要重启SSH服务让新配置生效。命令是systemctl restart sshd。注意重启前最好先检查一下配置语法是否正确，可以用sshd -t来验证，避免改错了导致服务直接挂掉。

按照这个顺序走一遍，绝大多数SFTP配置错误都能定位并解决。如果所有步骤都试过了仍然不行，那可能需要深挖一下网络环境或特殊的安全策略，这时查阅官方文档或向社区求助会更有效率。