windows server部署sftp是替代ftp的首选方案：2019+版本内置openssh，启用后通过tcp 22端口提供加密传输，用户权限由系统acl控制，客户端用winscp等工具连接即可。
为 windows 服务器部署加密传输协议，核心是根据使用场景选择合适的技术栈，而不是堆砌所有方案。关键不在于“有没有加密”，而在于“谁在用、传什么、要防谁”。下面分四类常见需求讲清楚怎么做。
用 SFTP 替代传统 FTP
这是企业最常忽略也最该优先落地的升级。Windows Server 2019 及更新版本原生支持 OpenSSH，无需第三方软件即可启用 SFTP。
- 在“设置 → 应用 → 可选功能”中添加“OpenSSH 服务器”
- 启动服务：PowerShell 中运行 Start-Service sshd，并设为自动启动
- 确认防火墙放行 TCP 22 端口（不是 21）
- 用户默认使用系统账户登录，权限由 Windows 文件系统 ACL 控制，无需额外建虚拟用户
- 客户端可用 WinSCP、FileZilla（协议选 SFTP，端口填 22），连接时会提示验证主机密钥，首次接受即可
对外提供 HTTPS 网站服务
Web 类服务必须强制启用 TLS 加密，推荐使用免费、自动续期的 Let’s Encrypt 证书。
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- 安装 win-acme（Windows ACME 简易客户端），它能自动申请、部署和续订证书
- 绑定到 IIS：在站点绑定中添加 https 类型，选择刚获取的证书，勾选“要求 SSL”
- 配置 HTTP 重定向：将所有 80 端口请求 301 跳转到 443，避免明文访问
- 禁用旧版协议：在 IIS 的 SSL 设置中取消勾选 SSL 2.0/3.0 和 TLS 1.0/1.1，仅保留 TLS 1.2 与 1.3
内部远程管理走 RDP 加密通道
Windows 远程桌面（RDP）本身已内置加密，但默认配置可能不够安全。
- 组策略编辑器中定位到“计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 安全”，启用“要求使用特定的安全层”，设为 SSL（TLS）
- 同时启用“设置客户端连接加密级别”为“高”（即只允许 TLS 加密）
- 禁用 Network Level Authentication（NLA）以外的身份验证方式，防止凭证中继攻击
- 如需从公网接入，务必前置网关或跳板机，禁止 RDP 端口（3389）直接暴露
跨平台文件共享启用 SMB 加密
当 Windows Server 作为文件服务器被 Linux/macOS/其他 Windows 客户端访问时，SMB 协议本身可加密传输内容。
- 确保服务器运行 SMB 3.0 或更高版本（Windows Server 2012 起默认支持）
- Powershell 执行：Set-SmbServerConfiguration -EncryptData $true -Force
- 此设置强制所有 SMB 会话启用端到端加密，即使客户端未显式要求
- 注意：启用后，旧版 Windows（如 Win7）或某些嵌入式设备可能无法连接，需评估兼容性
