なぜ vsftpd をやめて SFTP にしたのか。Ubuntu 24.04 / VPS 実例ログ

このブログの最初の方で書いていた、業務サーバー構築ログの続きです。

前回の、Xserver VPS 初期構築ログ｜Ubuntu 24.04 LTSで最初にやった設定では、

一般ユーザー作成
SSH の基本設定
root ログイン制限
最低限のセキュリティ対策

までをまとめました。

今回はその流れで、「ファイル転送をどうするか」という、実運用では避けて通れない部分について書きます。

VPS を立てたあと、必ず発生するのが、

ファイルアップロード
データ移行
バックアップの受け渡し

といった作業です。

最初は何となく FTP（vsftpd）を入れたのですが、実運用を考えると違和感が積み重なり、最終的に SFTP（SSH）一本化 に切り替えました。

その経緯と判断理由を、実体験ベースで整理しておきます。

FTP と SFTP の違いを整理する
1. FTP が今あまり使われない理由
2. SFTP は SSH の機能の一部
なぜ vsftpd をやめたのか（実体験）
SFTP はどのように動いているのか
SFTP 用ユーザー設計の考え方
1. 避けたい危険な構成
2. 今回採用した設計方針
SFTP ユーザー作成とディレクトリ準備
sshd_config の設定（SFTP の核心）
なぜ PasswordAuthentication yes にしているのか
本番運用時の選択肢（環境に応じて）
よくあるハマりポイント
VPS 選定について（少しだけ）
まとめ

FTP と SFTP の違いを整理する

FTP が今あまり使われない理由

FTP（File Transfer Protocol）は昔からある仕組みですが、

通信が暗号化されない
ID / パスワードが平文で流れる
ポート管理が煩雑

といった問題があります。

FTPS にすれば暗号化はできますが、

証明書管理
Passive モード用ポート設計
FW 側の穴あけ
クライアント設定の説明

など、運用負荷が一気に上がります。

インターネット直結の VPS では、正直 積極的に選ぶ理由があまりありません。

SFTP は SSH の機能の一部

SFTP は、

SSH 上で動作
通信はすべて暗号化
追加の FTP サーバー不要

という構成です。

Ubuntu 24.04 では OpenSSH が標準で入っているため、

SSH が使える = SFTP も使える

というシンプルさがあります。

構成が単純になる、というのは、ひとり情シス環境ではかなり大きなメリットです。

なぜ vsftpd をやめたのか（実体験）

一度は vsftpd を構築した

今回の環境でも、最初は

vsftpd のインストール
chroot 設定
ユーザー制限
Active / Passive モード調整

まで一通りやりました。

検証レベルでは問題なく動きます。

ただ、実運用をイメージしたときに、引っかかる点がいくつも出てきました。

実運用で感じた違和感

特に大きかったのはこのあたりです。

パッシブモード用ポート設計が面倒
社内ルーター側の設定が必要
設定ミス時の影響範囲が大きい

Active モードは逆セッションになるため、社内ネットワークとの相性が悪く、現実的ではありません。

結果として、
「FTPのためだけにネットワーク設計を歪めるのは違うな」
と感じるようになりました。

結論：SFTP（OpenSSH）だけで十分

最終的に、

ポートは 22 のみ
設定ファイルは sshd_config だけ
セキュリティ設計がシンプル

という理由から、vsftpd は完全に廃止し、SFTP 一本化 にしました。

構成が単純になることで、

トラブル要因が減る
運用説明が楽
保守が軽くなる

というメリットも一気に得られました。

SFTP はどのように動いているのか

SFTP は、以下の仕組みで動いています。

sshd（SSH デーモン）
Subsystem sftp
internal-sftp

設定はすべて /etc/ssh/sshd_config に集約されます。

FTP サーバーのように、別デーモンを立てる必要がありません。

SFTP 用ユーザー設計の考え方

避けたい危険な構成

初心者がやりがちですが、以下はおすすめしません。

root で SFTP ログイン
サーバー全体が見える
SSH シェルも利用可能

事故が起きた際の影響が非常に大きくなります。

今回採用した設計方針

SFTP 専用ユーザーを作成
操作できるディレクトリを限定
SSH シェルは使わせない

という構成にしています。

SFTP ユーザー作成とディレクトリ準備

例として、一般的な名前で説明します。

adduser sftpuser

アップロード用ディレクトリを作成します。

mkdir -p /data/sftp
chown root:root /data
chmod 755 /data
chmod 755 /data/sftp

注意点
ChrootDirectory に指定するディレクトリは
root 所有かつ書き込み不可 が必須条件です。

ここを間違えると、ログインできずにハマります。

sshd_config の設定（SFTP の核心）

vi /etc/ssh/sshd_config

末尾に追記します。

# SFTP を internal-sftp で動かす
Subsystem sftp internal-sftp

# 移行・検証フェーズ向け設定
# ※ IP 制限と併用する前提
PasswordAuthentication yes

# SFTP 専用ユーザー設定
Match User sftpuser
    ForceCommand internal-sftp
    ChrootDirectory /data
    AllowTcpForwarding no
    X11Forwarding no

反映します。