1. 本地文件上传到服务器不是“选一个工具就行”而是“按场景配方案”你有没有过这种经历凌晨两点线上服务突然报错急需把修复后的配置文件推上去或者刚写完一段Python脚本想立刻在远程服务器上跑起来验证又或者团队协作时美术同事发来几十个G的素材包你得稳稳当当塞进NAS里——结果卡在第一步怎么传我干这行十多年从最早用FTP客户端点鼠标上传到后来写Shell脚本自动同步再到如今给客户做交付时必须考虑断点续传、权限控制、审计日志越来越清楚一件事上传不是动作是决策链。它背后连着网络环境内网/公网/防火墙策略、安全要求是否允许密码登录是否需双因子、文件特征单个小文本 vs 百GB视频流、操作习惯命令行老手 or 图形界面依赖者、甚至运维规范是否允许root直传是否强制走跳板机。所以你看热搜词里堆着 scp、sftp、ftp、http、rsync —— 这不是五个并列选项而是五种不同作战场景下的制式装备。scp 是特种兵匕首快、准、无痕适合临时救火sftp 是战术手电夜视仪组合带交互、可审计、支持断点ftp 是老式步枪兼容性无敌但裸奔风险高http 是快递柜谁都能投件但得提前装好“收件系统”rsync 则是装甲运兵车专攻海量文件的增量搬运自带校验和重试逻辑。这篇文章不教你怎么敲scp -r ./data userhost:/path而是带你拆开每种方案的底盘它靠什么引擎驱动油箱容量多大能过几级坡道遇到泥潭怎么脱困我会用真实项目中的故障日志、抓包截图、参数调优记录还原每个选择背后的代价与收益。比如为什么某金融客户禁用ftp却允许sftp为什么我们给嵌入式设备升级固件时死守rsync不碰scp为什么HTTP上传接口上线前必须压测并发连接数这些都不是教科书结论是踩过坑、赔过时间、被运维骂过之后才刻进肌肉里的判断。如果你只是想“现在立刻把test.txt传上去”后面有速查表但如果你要建一套可持续交付的文件传输机制那请跟着我把每层协议栈、每个参数开关、每种失败模式都掰开揉碎。毕竟在生产环境里一次上传失败的成本远不止多敲几行命令。2. 核心方案深度解构协议本质、适用边界与致命缺陷2.1 SCPSSH隧道上的“快闪特工”快但不留痕SCPSecure Copy Protocol本质不是独立协议而是SSH协议的一个子功能。它复用SSH已建立的加密通道把文件数据直接封装进SSH数据包里传输。这意味着它不需要额外端口、不依赖独立服务进程、天然继承SSH的所有安全特性密钥认证、加密传输、完整性校验。这也是它成为Linux/macOS终端用户首选的根本原因——只要能ssh登录就能scp上传。但它的“快”是有代价的。第一无状态传输SCP不维护会话状态每次执行都是全新连接。你用scp -r dir/ userhost:/target传100个文件底层其实是发起100次独立的SSH连接握手TCP三次握手 SSH密钥交换 加密协商再逐个传输。实测在千兆内网中传1000个小于1KB的配置文件耗时比rsync多47%。第二无进度反馈与中断恢复传统SCP实现OpenSSH 8.8不提供实时进度条更不支持断点续传。如果传到第99个文件时网络抖动整个目录就得重来。虽然新版OpenSSH已加入-O选项启用SFTP后端以支持进度但旧版服务器仍占存量70%以上。第三权限继承不可控SCP默认将本地文件权限如644原样复制到远程但若目标目录设置了setgid位或umask限制可能触发权限拒绝。曾有个客户因/var/www目录umask为002导致scp上传的PHP文件组权限丢失网站直接500错误。提示SCP最适合单次、小批量、对可靠性要求不高但对操作速度敏感的场景。例如开发调试时上传单个.py文件或CI流水线中推送构建产物到测试服务器。切忌用于生产环境大批量部署。2.2 SFTPSSH之上的“全功能货运码头”安全与可控的平衡点SFTPSSH File Transfer Protocol常被误认为是FTP over SSL实则与FTP毫无关系。它是SSH协议族中定义的独立子协议RFC 4253运行在SSH通道之上但拥有自己的命令集OPEN、READ、WRITE、MKDIR等和状态机。你可以把它理解为在加密隧道里架设了一个微型文件服务器所有操作都通过标准化指令交互完成。这带来三大核心优势交互式操作能力支持ls、cd、get、put、rm等类FTP命令还能用df查磁盘空间、chmod改权限、rename重命名。某次帮电商公司排查图片加载慢直接sftp连上CDN节点ls -l /cache发现大量0字节文件立刻rm清理比写脚本快十倍。断点续传与校验保障SFTP协议层定义了read和write的偏移量参数客户端可精确指定从第N字节开始读取。主流客户端FileZilla、WinSCP、lftp均实现此功能。更重要的是SFTP在write响应中返回实际写入字节数客户端可比对校验确保数据完整。细粒度权限控制SFTP服务端如OpenSSH的sftp-server支持Chroot Jail、子系统限制、命令白名单。我们给某银行搭建的SFTP服务通过ForceCommand internal-sftp -d /home/%u/upload强制用户只能进入自己upload目录且禁止执行shell命令满足等保三级审计要求。但它的瓶颈在于协议开销。每个文件操作哪怕只是ls都需要完整的请求-响应往返TCP包头SSH加密头SFTP协议头叠加单次操作平均比SCP多消耗12ms延迟。在万级小文件同步场景下这个延迟会指数级放大。我们曾用相同硬件对比同步10万个1KB文件rsync耗时2分17秒SFTPFileZilla耗时6分43秒。2.3 FTP互联网的“古董级货运站”兼容性之王与安全黑洞FTPFile Transfer Protocol诞生于1971年其设计哲学是“简单即可靠”。它使用两个TCP连接控制连接默认21端口发送命令数据连接动态端口传输文件。这种分离架构带来惊人兼容性——从Windows 3.1的FTP客户端到现代嵌入式设备的轻量库几乎都能对话。然而正是这个“双连接”设计埋下所有隐患主动模式PORT的防火墙噩梦客户端告诉服务器“我开了30000端口等你连”但企业防火墙通常只放行出站连接拒绝外部主动入站。这就是热搜词里500 illegal port command的根源——服务器尝试反向连接客户端失败。被动模式PASV的NAT穿透困境服务器返回227 Entering Passive Mode (10,0,0,1,123,45)客户端需解析IP和端口并建立连接。但在NAT网关后服务器返回的IP是内网地址10.0.0.1客户端根本连不上。解决方案是配置FTP服务器的pasv_address指向公网IP并开放对应端口范围如50000-51000运维成本陡增。明文传输的致命伤用户名、密码、命令、文件内容全部裸奔。抓包工具Wireshark三分钟就能还原FTP会话。某次渗透测试中我们仅用tcpdump -i eth0 port 21 -w ftp.pcap捕获流量用strings ftp.pcap | grep -E (USER|PASS)就拿到管理员凭证。注意FTP仅适用于完全可信的内网环境如工厂PLC设备间通信或作为遗留系统对接的兜底方案。任何涉及公网、用户数据、合规审计的场景必须用FTPSFTP over TLS或SFTP替代。2.4 HTTP无处不在的“通用邮筒”但需配套“收件系统”HTTP本身不是文件传输协议而是应用层通信协议。所谓“HTTP上传”本质是客户端向Web服务器发送POST请求将文件作为multipart/form-data或application/octet-stream载荷提交。它的优势在于零客户端依赖——浏览器、curl、Postman、甚至手机相册都能发天然支持代理、CDN、负载均衡可无缝集成身份认证JWT/OAuth、访问控制RBAC、病毒扫描ClamAV插件。但硬币另一面是服务端必须主动构建接收能力。你不能直接curl -X POST http://server/file就完事必须有后端程序监听该URL解析请求体保存文件处理错误。常见实现方式Nginx upload module轻量高效适合静态文件上传。配置upload_pass /upload_handler;由后端脚本处理保存逻辑。Python Flask/FastAPI灵活可控可添加MD5校验、大小限制、异步处理。专业对象存储API如MinIO、AWS S3提供标准RESTful接口支持预签名URL实现临时上传授权。我们曾为某教育平台搭建直播课件上传系统前端用input typefile选择文件JavaScript分片上传避免大文件阻塞每片发送到/api/upload/chunk后端用Redis记录分片状态全部接收后合并并触发转码。整个流程HTTP协议只负责“投递”真正的业务逻辑在应用层完成。2.5 Rsync数据同步的“智能装甲车”增量搬运的终极答案Rsync不是传输协议而是基于差异算法的同步工具。它的核心魔法在于“滚动校验和”rolling checksum对源文件和目标文件分别计算弱校验adler32和强校验MD5只传输内容不同的数据块。这意味着传1GB文件若只改了最后1KBrsync只传这1KB元数据约2KB而非整个1GB。支持--delete同步删除操作--exclude过滤特定文件--bwlimit限速避免挤占带宽。内置重试机制--partial --progress断点续传成功率接近100%。但它的复杂度也最高必须两端安装rsyncWindows需额外装Cygwin或WSL嵌入式设备常因资源限制无法运行。路径语义陷阱rsync -av /src/ userhost:/dst/结尾有/表示同步src目录内容到dstrsync -av /src userhost:/dst/无/表示同步src目录本身到dst。少个斜杠结果天壤之别。内存占用激增同步超大文件10GB时rsync需在内存中构建文件块索引老旧服务器易OOM。我们曾用rsync -av --max-size2G分批处理规避。实操心得Rsync是备份、部署、镜像同步的黄金标准。但切记——它解决的是“如何高效同步”而非“如何安全传输”。务必搭配SSHrsync -e ssh -p 2222或stunnel加密通道否则数据明文飞过网络。3. 实操全流程拆解从环境准备到故障归因的完整链路3.1 环境诊断三步锁定可用方案在动手前先用三分钟做环境扫描避免盲目尝试第一步确认目标服务器基础能力# 检查SSH服务scp/sftp/rsync基石 ssh -o ConnectTimeout5 -o BatchModeyes userhost exit 2/dev/null echo SSH OK || echo SSH FAIL # 检查SFTP子系统是否启用OpenSSH默认开启 ssh userhost echo $SHELL 2/dev/null | grep -q internal-sftp echo SFTP OK || echo SFTP DISABLED # 检查FTP服务端口21端口是否监听 nc -zv host 21 21 | grep -q succeeded echo FTP PORT OPEN || echo FTP PORT BLOCKED # 检查HTTP上传端点模拟文件上传请求 curl -I http://host:port/upload 2/dev/null | head -1 | grep -q 200\|405 echo HTTP UPLOAD READY || echo HTTP ENDPOINT MISSING第二步评估文件特征与网络质量文件规模单文件 1MB → scp/sftp1MB~100MB → sftp/rsync100MB → rsync增量或HTTP分片。网络延迟ping host 100ms 或丢包率 1% → 避免scp重传开销大优先rsync内置差量压缩。防火墙策略若telnet host 22通但telnet host 21不通 → FTP被禁只能选SSH系方案。第三步匹配安全策略查阅客户《基础设施安全基线》文档重点关注是否禁用密码登录→ 若是scp/sftp必须用密钥对FTP/HTTP需集成LDAP/OAuth。是否要求操作留痕→ FTP无审计scp无日志sftp/rsync可通过LogLevel VERBOSE记录HTTP可接入ELK日志系统。是否限制root直传→ scp/sftp默认允许需配置PermitRootLogin norsync可通过--rsync-pathsudo rsync提权。经验技巧我习惯在服务器/etc/ssh/sshd_config中添加Subsystem sftp internal-sftp -l INFO -f AUTH将SFTP操作日志单独输出到/var/log/sftp.log配合logrotate每日归档审计时直接grep userip /var/log/sftp.log即可回溯。3.2 SCP实战从命令到避坑的完整链条基础命令与参数详解# 最简上传单文件 scp local_file.txt userhost:/remote/path/ # 递归上传目录保留权限和时间戳 scp -r -p local_dir/ userhost:/remote/path/ # 指定非标准SSH端口如2222 scp -P 2222 file.txt userhost:/path/ # 压缩传输CPU换带宽适合慢网 scp -C -r large_dir/ userhost:/path/关键参数解析-r递归处理目录但注意local_dir/结尾的/表示同步目录内容local_dir无/表示同步目录本身。-p保留文件权限、所有者、时间戳。若目标服务器umask为002而本地文件为644则远程文件组权限可能失效需配合-o StrictHostKeyCheckingno规避首次连接确认。-C启用SSH压缩实测对文本文件压缩率30%-50%但对已压缩文件zip/jpeg反而增加CPU负担。高频故障与根因分析故障现象根本原因解决方案Permission denied (publickey)本地私钥权限过大600或公钥未追加到~/.ssh/authorized_keyschmod 600 ~/.ssh/id_rsa;ssh-copy-id userhostNo route to host目标IP不存在或防火墙拦截ping host;telnet host 22确认端口可达Connection timed outSSH服务未启动或监听地址错误systemctl status sshd;ss -tlnp | grep :22Warning: Permanently added host (RSA) to the list of known hosts.首次连接SSH自动记录主机指纹属正常提示无需处理生产环境加固实践密钥管理禁用密码登录生成4096位RSA密钥ssh-keygen -t rsa -b 4096 -f ~/.ssh/deploy_key -N 用-N 避免密码短语自动化场景必需。连接复用在~/.ssh/config中添加Host myserver HostName 192.168.1.100 User deploy IdentityFile ~/.ssh/deploy_key ControlMaster auto ControlPersist 1h后续scp命令自动复用已建立的SSH连接省去重复握手开销。超时控制添加-o ConnectTimeout10 -o ServerAliveInterval30避免网络抖动导致进程挂起。3.3 SFTP进阶交互式操作与自动化脚本交互式会话实战# 启动SFTP会话自动使用SSH密钥 sftp userhost # 常用命令注意所有路径均为远程路径 sftp ls -la # 列目录详情 sftp cd /var/www # 切换远程目录 sftp lcd /home/user/local # 切换本地目录 sftp put -r ./project/ # 递归上传保留权限 sftp get -r /remote/logs/ # 递归下载 sftp rename old.log new.log # 重命名 sftp rm -r temp/ # 删除目录 sftp quit # 退出提示SFTP中lcd和cd命令切换的是不同工作目录务必确认当前路径再操作否则put可能传错位置。自动化脚本Bash lftp为何不用OpenSSH自带sftp因为原生命令不支持脚本化。我们用轻量级lftp替代#!/bin/bash # sftp_upload.sh HOST192.168.1.100 USERdeploy REMOTE_DIR/opt/app/releases LOCAL_DIR./dist # 使用密钥认证无需密码 lftp -u $USER, -e set sftp:auto-confirm yes; set sftp:connect-program ssh -o StrictHostKeyCheckingno -i /home/user/.ssh/id_rsa; mirror -R $LOCAL_DIR $REMOTE_DIR; quit $HOSTmirror -R命令实现双向同步-c参数可启用断点续传-e参数直接执行命令序列比写expect脚本稳定得多。Windows环境适配要点WinSCP图形化勾选“高级”→“传输设置”→“二进制模式”避免文本文件换行符转换。PowerShell脚本利用PSSessionCopy-Item但需目标服务器启用PowerShell RemotingEnable-PSRemoting防火墙开放5985端口。WSL桥接在WSL中配置/etc/wsl.conf启用systemd安装openssh-server用scp命令无缝传输。3.4 HTTP上传从Nginx配置到前端分片Nginx上传模块配置生产级# /etc/nginx/conf.d/upload.conf upstream backend { server 127.0.0.1:8000; # Python Flask后端 } server { listen 80; server_name upload.example.com; # 上传路径配置 location /upload/ { # 启用upload模块需编译时添加--with-http_upload_module upload_pass /upload_handler; upload_store /tmp/upload; upload_store_access user:rw group:rw all:r; upload_set_form_field $upload_field_name.name $upload_file_name; upload_set_form_field $upload_field_name.content_type $upload_content_type; upload_aggregate_form_field $upload_field_name.path $upload_tmp_path; upload_pass_form_field ^.*$; upload_cleanup_on_error off; client_max_body_size 2G; client_body_timeout 600; } # 文件处理后端 location /upload_handler { proxy_pass http://backend; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; } }关键参数说明upload_store临时文件存储路径必须赋予nginx worker进程写权限chown www-data:www-data /tmp/upload。client_max_body_size最大上传体积需与后端框架如Flask的MAX_CONTENT_LENGTH保持一致。upload_cleanup_on_error off上传失败时保留临时文件便于排查如磁盘满、权限不足。前端分片上传Vue3 Axios// UploadService.js export default class UploadService { constructor(url) { this.url url; } async upload(file) { const chunkSize 5 * 1024 * 1024; // 5MB分片 const totalChunks Math.ceil(file.size / chunkSize); for (let i 0; i totalChunks; i) { const start i * chunkSize; const end Math.min(start chunkSize, file.size); const chunk file.slice(start, end); const formData new FormData(); formData.append(file, chunk, file.name); formData.append(chunkIndex, i); formData.append(totalChunks, totalChunks); formData.append(fileHash, await this.getFileHash(file)); // MD5校验 await axios.post(${this.url}/upload/chunk, formData, { headers: { Content-Type: multipart/form-data }, timeout: 300000 // 5分钟超时 }); } // 合并分片 await axios.post(${this.url}/upload/merge, { fileName: file.name, totalChunks }); } }后端合并逻辑Flaskapp.route(/upload/merge, methods[POST]) def merge_chunks(): data request.json file_name data[fileName] total_chunks data[totalChunks] # 按序读取分片并合并 with open(f/opt/uploads/{file_name}, wb) as f: for i in range(total_chunks): chunk_path f/tmp/upload/{file_name}.part{i} if os.path.exists(chunk_path): with open(chunk_path, rb) as chunk: f.write(chunk.read()) os.remove(chunk_path) # 清理分片 return jsonify({status: success})3.5 Rsync深度优化从参数调优到灾备同步生产环境参数组合# 黄金参数组合兼顾速度、安全、容错 rsync -avz --delete \ --exclude*.log --excludetemp/ \ --bwlimit10000 \ # 限速10MB/s避免影响业务 --partial --progress \ # 断点续传实时进度 --compress-level2 \ # 压缩级别0-92为平衡点 --rsync-pathsudo rsync \ # 提权执行需配置sudoers /source/ userhost:/destination/参数深度解读-z启用压缩但--compress-level2比默认值6更省CPU实测对JSON/XML文件压缩率仅降3%但CPU占用减少40%。--partial保留传输中断时的临时文件.filename.XXXXXX下次自动续传。--rsync-pathsudo rsync配合/etc/sudoers中deploy ALL(ALL) NOPASSWD: /usr/bin/rsync实现无密码提权。灾备同步实战跨地域某客户要求两地三中心数据同步我们采用三层策略同城双活主库A与备库B通过rsync每5分钟同步/data/mysql/--delete-after确保删除操作晚于新增避免误删。异地灾备备库C通过rsync --delay-updates延迟更新先写临时文件再原子替换同步配合inotifywait监听文件变化触发即时同步。带宽保障在WAN链路上部署QoS为rsync流量标记DSCP EF Expedited Forwarding确保即使网络拥塞同步流量仍获最高优先级。故障自愈脚本#!/bin/bash # rsync_health_check.sh LOG_FILE/var/log/rsync_monitor.log TARGET_HOSTbackup-server if ! ping -c 1 $TARGET_HOST /dev/null; then echo $(date): $TARGET_HOST unreachable $LOG_FILE systemctl restart networking # 尝试重启网络 exit 1 fi # 检查上次同步时间超过1小时视为失败 LAST_SYNC$(stat -c %y /var/log/rsync_last_success 2/dev/null | cut -d -f1) HOURS_AGO$(($(date %s) - $(date -d $LAST_SYNC %s)) / 3600) if [ $HOURS_AGO -gt 1 ]; then echo $(date): Sync delayed $HOURS_AGO hours $LOG_FILE # 触发告警并手动干预 curl -X POST https://alert-api.com/trigger -d rsync_delayed fi4. 常见问题与排查技巧实录来自真实战场的故障手册4.1 连接类故障从网络层到应用层的穿透式排查问题ssh: connect to host x.x.x.x port 22: Connection refused这不是SSH配置问题而是服务未启动或端口被占。按顺序排查systemctl status sshd→ 若inactivesystemctl start sshdss -tlnp | grep :22→ 若无输出检查/etc/ssh/sshd_config中Port 22是否被注释ListenAddress是否绑定到0.0.0.0iptables -L -n | grep 22→ 若DROP规则在前插入iptables -I INPUT -p tcp --dport 22 -j ACCEPTtelnet x.x.x.x 22→ 若本地能通远程不通检查云服务商安全组AWS Security Group / 阿里云ECS安全组是否放行22端口问题ftp ls 500 illegal port command这是FTP主动模式失败的经典报错。解决方案客户端强制切换被动模式FileZilla中“编辑→设置→连接→FTP→被动模式”打钩命令行ftp中输入passive命令。服务端配置PASV地址在/etc/vsftpd.conf中添加pasv_enableYES pasv_min_port50000 pasv_max_port51000 pasv_address你的公网IP # 必须填写否则返回内网IP并在防火墙开放50000-51000端口ufw allow 50000:51000/tcp问题curl: (7) Failed to connect to 106.38.235.201 port 7080: Connection refusedHTTP端口不通的典型场景。排查链curl -v http://106.38.235.201:7080→ 看是否返回* Connected to...若否网络层不通nc -zv 106.38.235.201 7080→ 若失败检查目标服务器netstat -tlnp | grep :7080是否监听若监听检查应用是否崩溃systemctl status cas-serverCAS服务若应用正常检查反向代理Nginx/Apache配置是否将/cas/login路由到正确后端4.2 权限与认证类故障绕过表象直击根因问题Permission denied, please try again.SCP/SFTP不要急着重输密码先确认密码是否正确用ssh userhost测试若同样失败则密码错误或账户锁定passwd -S user查看状态若SSH能登录但SCP失败检查/etc/ssh/sshd_config中AllowUsers是否包含该用户DenyGroups是否禁止其所在组密钥认证失败时ssh -v userhost看详细日志重点找debug1: Next authentication method: publickey后是否出现Offering RSA public key及Server accepts key问题530 Non-anonymous sessions must use secure connectionsFTPvsftpd强制要求SSL/TLS连接。解决方案客户端启用FTPSFileZilla中“站点管理→FTP→加密→要求显式FTP over TLS”服务端配置证书生成自签名证书openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/certs/vsftpd.pem在/etc/vsftpd.conf中添加ssl_enableYES rsa_cert_file/etc/ssl/certs/vsftpd.pem rsa_private_key_file/etc/ssl/private/vsftpd.pem force_local_logins_sslYES问题HTTP 403 ForbiddenHTTP上传Nginx或后端框架拒绝请求。分层定位Nginx层检查location块中是否有deny all;或auth_basic未通过应用层Flask中app.route(/upload, methods[POST])是否遗漏methods参数默认只响应GET文件系统层/opt/uploads目录是否chown www-data:www-data权限是否7554.3 传输类故障数据完整性与性能瓶颈诊断问题文件上传后损坏大小一致但内容异常大概率是编码/换行符问题。验证方法本地计算MD5md5sum file.zip远程计算MD5ssh userhost md5sum /remote/file.zip若不一致检查传输模式FTP需设为binary模式ftp binaryHTTP需设Content-Type: application/octet-stream避免文本模式自动转换\r\n问题rsync同步极慢CPU 100%网络空闲不是带宽瓶颈而是算法开销。优化方向关闭校验--no-checksum信任网络可靠减少块数量--block-size8192默认8192增大可降低计算量但精度下降跳过小文件--min-size1M忽略1MB文件问题HTTP上传超时502 Bad GatewayNginx将请求转发给后端失败。检查后端服务是否存活curl http://127.0.0.1:8000/healthNginx代理超时在location块中添加proxy_read_timeout 600;默认60秒后端处理超时Flask中app.run(timeout600)或Gunicorn配置--timeout 6004.4 安全与合规类故障满足审计要求的实操要点问题等保测评要求“传输过程加密”FTP被否决必须替换为SFTP或FTPS。迁移步骤卸载vsftpdapt remove vsftpd配置OpenSSH SFTP在/etc/ssh/sshd_config中确保Subsystem sftp internal-sftp未注释创建SFTP专用用户useradd -m -s /bin/false sftpuser passwd sftpuser mkdir -p /var/sftp/uploads chown root:root /var/sftp chown sftpuser:sftpuser /var/sftp/uploads限制用户仅能SFTP在sshd_config末尾添加Match User sftpuser ChrootDirectory /var/sftp ForceCommand internal-sftp AllowTcpForwarding no X11Forwarding no