2linkit/sftp

SFTP服务器镜像

该镜像基于atmoz/sftp优化，增加Fail2Ban安全防护，合并多个PR修复问题，更适合Kubernetes环境部署及团队文件共享。

!Docker Cloud Build Status !Docker Cloud Automated build !Docker Pulls

支持的标签及Dockerfile链接

• debian:buster-slim https://github.com/yakworks/docker-sftp/blob/master/Dockerfile

核心功能

1. 灵活的用户管理: 通过命令参数、环境变量或配置文件定义用户，支持UID/GID指定、目录权限设置。
2. Fail2Ban防护: 智能阻止暴力破解，需添加NET_ADMIN权限启用。
3. 卷挂载优化: 通过DATA_MOUNT环境变量统一管理共享目录，区分普通用户与管理员权限。
4. SSH密钥认证: 支持单用户密钥挂载或批量密钥目录映射。
5. Kubernetes兼容: 提供部署示例，支持HostPort配置以确保Fail2Ban获取真实IP。

使用场景

• 团队内部安全文件共享
• 应用系统间的SFTP数据传输
• Kubernetes集群内的文件存储服务

配置说明

快速启动示例

bash
docker run -p 2222:22 -d 2linkit/sftp foo:pass

使用SFTP客户端连接: sftp -P 2222 foo@127.0.0.1（默认目录为/home/foo/data）

卷挂载与用户权限示例

bash
mkdir -p target/sftp-vol/private target/sftp-vol/public
docker run --cap-add=NET_ADMIN --cap-add=SYS_ADMIN \
  -e DATA_MOUNT=/sftp-data \
  -v $(pwd)/target/sftp-vol:/sftp-data \
  -p 2222:22 -d 2linkit/sftp \
  owner1:pass::staff user1:pass::users:/sftp-data/public

• owner1（staff组）可访问整个共享目录
• user1（users组）仅可访问public目录

用户SSH密钥认证

批量映射密钥目录:

bash
docker run --cap-add=NET_ADMIN --cap-add=SYS_ADMIN \
  -v ./ssh-keys:/etc/sftp/authorized_keys.d \
  -p 2222:22 -d 2linkit/sftp \
  ziggy::1001 bob::1002

（密钥文件需命名为用户名_rsa.pub，如ziggy_rsa.pub）

Kubernetes部署

核心配置要点

1. 使用HostPort暴露SSH端口，确保Fail2Ban获取真实IP
2. 添加必要的安全能力（NET_ADMIN, SYS_ADMIN）
3. 通过Secret管理用户配置与SSH密钥

示例部署片段:

yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: sftp-server
  namespace: storage
spec:
  replicas: 1
  selector:
    matchLabels:
      role: sftp
  template:
    metadata:
      labels:
        role: sftp
    spec:
      nodeName: kub-node-1
      containers:
      - name: sftp
        image: 2linkit/sftp:latest
        ports:
        - name: ssh
          containerPort: 22
          hostPort: 9922
        securityContext:
          capabilities:
            add: ["SYS_ADMIN", "NET_ADMIN"]
        env:
        - name: DATA_MOUNT
          value: /sftp-data
        volumeMounts:
        - name: sftp-data
          mountPath: /sftp-data
        - name: user-conf
          mountPath: /etc/sftp/users.conf
          subPath: users.conf
        - name: ssh-keys
          mountPath: /etc/sftp/authorized_keys.d
      volumes:
      - name: sftp-data
        persistentVolumeClaim:
          claimName: sftp-pvc
      - name: user-conf
        secret:
          secretName: sftp-user-conf
      - name: ssh-keys
        secret:
          secretName: sftp-ssh-keys

自定义脚本执行

将脚本放入/etc/sftp.d/目录，容器启动时自动执行，可用于绑定挂载额外目录等操作。

bash
#!/bin/bash
# /etc/sftp.d/bindmount.sh
bindmount() {
  if [ -d "$1" ]; then mkdir -p "$2"; fi
  mount --bind $3 "$1" "$2"
}
bindmount /data/common /home/dave/common
bindmount /data/docs /home/peter/docs --read-only

（需启用CAP_SYS_ADMIN权限）