保存配置文件退却出，实行 service sshd reload 重载服务配置就完成了。
可以利用 sftp 客户端以用户 ftp01 登录试试，可以上传下载文件，活动范围限制在 /sftp 中，一切正常。同样用户利用 ssh 不能登录。达到预期效果。
3、知识点讲解
1）、internal-sftp 与 sftp-server 的区别
颠末我的测试，利用原默认的sftp-server，当前用户的 shell 必须是像 /bin/bash 如许可以利用的普通 shell，而不能是像 /sbin/nologin 这种禁止 ssh 登录的 shell。否则，sftp 用户不能登录。另外，原默认的 sftp-server 不能chroot，以是不能限定 sftp 用户登录后的活动范围。有大概是因为 chroot 环境找不到 shell。但听说原默认的 sftp-server 对旧版 openssh 的兼容性较好，而且可以记录日志。
而 internal-sftp 简单性、性能、对 ChrootDirectory 的兼容性是它的长处。另外，我这里还给它加一个安全性优于 sftp-server。
总之，通常环境下，我们创建 sftp 服务器应该总是选择 internal-sftp。
参考网址：OpenSSH: Difference Between internal-sftp and sftp-server https://www.baeldung.com/linux/openssh-internal-sftp-vs-sftp-server
2）、Match 条件指令
根据 man 文档，Match 条件指令块必须背面接另一个 Match 行（如 Match All），大概放在配置文件末了。用 “Match All” 来结束 Match 块的用法我没有看到正式的明确的文档，故我这里接纳的方法是直接把 Match 块放到配置文件的末了。
参考联机 man 文档摘录：
man ssh_config
Match Introduces a conditional block. If all of the criteria on the Match line are satisfied, the keywords on the following lines override those set in the
global section of the config file, until either another Match line or the end of the file. If a keyword appears in multiple Match blocks that are
satisfied, only the first instance of the keyword is applied.
3）、ChrootDirectory 限定活动范围指令
根据 man 文档，ChrootDirectory 限定活动范围（Chroot）的目次必须是全路径每个目次都只能被 root 拥有，且不能被其他用户和组写入。这就决定了 Chroot 的目次不能直接作为普通用户 sftp 存放目次，除非存放在里面新建的二级目次中。而 root 用户通常不会作为 sftp 的直接用户。
参考联机 man 文档摘录：
man ssh_config
ChrootDirectory
Specifies the pathname of a directory to chroot(2) to after authentication. At session startup sshd(8) checks that all components of the pathname are
root‐owned directories which are not writable by any other user or group. After the chroot, sshd(8) changes the working directory to the user’s home
directory. Arguments to ChrootDirectory accept the tokens described in the “TOKENS” section.
4）、sftp 用户家目次及免密码登录
sftp 用户的家目次和文件保存目次是两个概念。可以在家目次下设置密钥自动登录。方法跟 ssh 密钥登录一样。
5）、SELinux 属性对 sftp 密钥登录影响
在基于红帽或类似红帽的 Linux 系统中，一般都默认开启了 SELinux。在做 sftp 密钥登录时，如果 ~/.ssh/authorized_keys 的 SELinux 属性不是 ssh_home_t 属性（如 default_t），大概会由于 SELinux 属性不对而拒绝密钥自动登录。这种环境通常可以通过恢复相干文件默认的 SELinux 属性解决（restorecon -R -v ~/.ssh）。
参考链接：
SELinux preventing ssh via public key https://unix.stackexchange.com/questions/136877/selinux-preventing-ssh-via-public-key
三、解决顶层目次为 sftp 目次的题目