vsftp服务器搭建-学习笔记整理

ftp
1、ftp简介与原理
ftp(file transfer protocol)中文称为“文件传输协议”用于internet上的控制文件的双向传输。
 
主动模式：服务端从20端口主动向客户端发起连接。
1、登录ftp服务器
2、登陆成功
3、客户端随机开放端口
4、客户端发送Port命令，读取数据，将开放的随机端口发送给服务器
5、服务器连接到客户端发送的随机端口，发送数据
6、服务器使用固定的20端口，向客户端的随机端口发送数据
 
被动端口：服务端在指定范围内内某个端口被动等待客户端连接。
1、登录ftp服务器
2、登陆成功
3、客户端发送pasv命令
4、服务器开放随机端口
5、服务器将开放的随机端口发送给客户端
6、客户端接收服务器开放的随机端口
7、客户端连接到服务器的随机端口获取数据。
 
一般使用被动模式，因为主动模式使用固定20端口访问客户端的随机端口传输数据时，客户端的随机端口可能会被防火墙拦截，服务器无能为力。
当使用被动模式时，客户端主动访问服务器的随机端口，当服务器的端口被防火墙拦截时，服务器可以调节，开放发送端口。
主要是从访问角度来衡量考虑。
 
端口：
ftp连接端口
控制连接：tcp 21,用于发送ftp命令信息
数据连接：tcp 20，用于上传、下载数据
 
 
 
2、ftp相关文件
安装
vsftpd-2.2.2-11.el6.i686.rpm
 
相关文件
主配置文件：
/etc/vsftpd/vsftpd.conf
用户控制列表文件：
/etc/vsftpd/ftpusers
/etc/vsftpd/user_list
 
ftp相关用户
匿名用户
anonymous或ftp
本地用户
使用linux系统用户和密码
虚拟用户
管理员自定义的模拟用户
 
注意事项：
关闭防火墙
关闭SELinux
 
 
3、配置文件详解
 
默认配置文件
anonymous_enable=YES   #允许匿名用户登录
local_enable=YES #允许本地用户登录
write_enable=YES #允许本地用户上传

local_umask=022 #本地用户上传 umask值
 
dirmessage_enable=YES #用户进入目录时，显示.message文件中信息
message_file=.message #指定信息文件
 
xferlog_enable=YES #激活记录日志
connect_from_port_20=YES #主动模式数据传输接口
xferlog_std_format=YES #使用标准的ftp日志格式
 
ftpd_banner #登录欢迎信息
listen=YES #允许被监听
pam_service_name=vsftpd
#设置PAM外挂模块提供的认证服务所使用的配置文件名，
       #即/etc/pam.d/vsftpd文件
userlist_enable=YES #用户登录限制
tcp_wrappers=YES #是否使用tcp_wrappers作为主机访问控制方式
 
 
常用全局配置
listen_address=192.168.4.1 #设置监听的ip地址
Listen_port=21 #设置监听的ftp服务的端口号
download_enable=YES #是否允许西下载文件
max_clients=0 #限制并发客户端的连接数
max_per_ip=0 #限制同一ip地址的并发连接数
 
被动模式：
pasv_enable=YES #开启被动模式
pasv_min_port=24500 #被动模式最小端口
pasv_max_port=24600 #被动模式最大端口
 
常用安全配置
accept_timeout=60 #被动模式，连接超时时间
connect_timeout=60 #主动模式，连接超时时间
idle_session_timeout=600 #600秒没有任何操作就关闭端口连接
data_connection_timeout=500  #资料传输时，超过500秒没有完成，就断开传输
 
 
 
4、连接ftp的客户端使用
 
使用命令行连接
ftp ip
 -help 获取帮助
 -get   下载
 -mget 下载一批文件
 -put   上传
 -mput 上传一批文件
 -exit    退出
 
使用windows对话框 ftp://192.168.2.1  
使用第三方工具
Winscp
 
 
在使用命令行方式连接tfp服务器的时候，不支持断点续传和目录传输
 
5、匿名用户访问
 
基本配置
anonymous_enable #允许匿名用户访问
anon_upload_enable #允许匿名用户上传
anon_mkdir_write_enable #允许匿名用户建立目录
anon_umask #设置上传的默认文件权限（默认是600）
 
注意事项:
默认上传目录：/var/ftp/pub/
如果允许上传，需要服务权限和系统目录权限同时允许
Vsftpd服务的伪用户是ftp
 
 
当匿名用户上传文件的时候，只开启上传权限是不够的，还需要对上传的文件夹拥有linux的系统操作权限，可以将上传文件到的目录所有者改为ftp伪用户，即可有权限上传操作。
 
 
 
6、本地用户访问
 
1、本地用户基本配置
local_enable=YES #允许本地用户登录
write_enable=YES #允许本地用户上传
local_umask=022 #本地用户上传umask值
 
local_root=/var/ftp #设置本地用户的ftp根目录（注意目录权限）
local_max_rate=0   #限制最大传输速率（字节/秒）
 
注意：
当不设置local_root=/var/ftp参数时，各本地用户上传的默认目录是各自的家目录。
当设置了local_root=/var/ftp参数后，任何本地用户上传的目录都默认到了指定的目录，进行了统一。
 
同样当本地用户对文件上传是，除了开启ftp上传权限，还要拥有linux系统读写权限。更改上传目录的所属组，将本地用户加入到组中，即可上传文件。
 
 
使用匿名用户和本地用户登录ftp服务器后，可以随意切换到根目录，可以随意下载到东西。就要，限制用户在本地目录不可以随意切换目录
 
 
把用户限制在家目录
chroot_local_user=YES
#开启用户目录限制（只有此行，把所有用户都现在在用户主目录中）
 
设置chroot_local_user=YES参数之后，所有的本地用户都只会在此目录下，不可随意切换到其他目录。
 
如果想要允许用户可以随意切换其他目录可以使用参数：
chroot_local_user=YES
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list
#写入到/etc/vsftpd/chroot_list文件中的用户可以访问任何目录，其他用户限制在用户主目录
 
 
2、用户访问控制
 
ftp相关文件
 用户控制列表文件：
/etc/vsftpd/ftpusers
/etc/vsftpd/user_list
 
访问控制：
1、
userlist_enable=YES #开启用户访问控制
userlist_deny=YES
userlist_file=/etc/vsftpd/user_list
#写入/etc/vsftpd/user_list文件中的用户不能访问ftp服务器，没有写入的用户可以访问（默认就是如此）
 
2、
userlist_enable=YES #开启用户访问控制
userlist_deny=NO
userlist_file=/etc/vsftpd/user_list
#写入/etc/vsftpd/user_list文件中的用户可以访问ftp服务器，没有写入的用户不能访问
 
 
注意：
不要把限制用户主目录和用户访问限制搞混
#chroot_local_user=YES 用于把用户禁锢在主目录下
#userlist_enable=YES 用于用户访问控制
 
 
7、虚拟用户访问
 
1、配置虚拟用户访问
配置虚拟用户登录的步骤：
1、添加虚拟用户口令文件
2、生成虚拟用户口令认证文件
3、编辑vsftpd的PAM认证文件
4、建立本地映射用户并设置宿主目录权限
5、修改配置文件
6、重启vsftp服务，并测试
7.调整虚拟用户权限
 
1、添加虚拟用户口令文件
vi /etc/vsftpd/vuser.txt   #vuser.txt文件名是随意起的，但是要与后面配置对应
cangls#用户名
123#密码
bols#用户名
123#密码
 
2、生成虚拟用户口令认证文件
yum -y install db4-utils
#如果没有安装口令认证命令，需要安装
 
db_load -T -t hash -f /etc/vsftpd/vuser.txt  /etc/vsftpd/vuser.db
#把文本文档转换为认证的数据库
 
3、编辑vsftpd的PAM认证文件
vi /etc/pam.d/vsftpd
auth required /lib/security/pam.userdb.so db=/etc/vsftpd/vuser
account required /lib/security/pam.userdb.so db=/etc/vsftpd/vuser
 
#注释掉其他行，加入此俩行即可
#注释掉其他行，可以禁止本地用户登录，因为本地用户登录时的验证依然依赖这个文件
 
4、建立本地映射用户并设置宿主目录权限
useradd -d /home/vsftproot -s /sbin/nologin vuser
#此用户不需要登录，只是映射用户
#用户名必须和下一步配置文件中一致
 
chmod 755 /home/vftproot
 
5、修改配置文件
vi /etc/vsftpd/vsftpd.conf
 guest_enable=YES #开启虚拟用户
 guest_username=vuser #ftp虚拟用户对应的系统用户
 pam_service_name=vsftpd #PAM认证文件（默认存在）
 
6、重启vsftp服务，并测试
service vsftpd restart
#此时虚拟用户可以登录，查看，下载，不能上传
#默认上传文件的位置是宿主用户的家目录
#权限使用的是匿名用户权限进行管理
 
7.调整虚拟用户权限
vi /etc/vsftpd/vsftpd.conf
anonymous_enbale=NO #关闭匿名用户登录，更加安全
#（不影响虚拟用户登录）
anon_upload_enable=YES    #允许(虚拟)匿名用户上传
anon_mkdir_write_enable=YES #允许(虚拟)匿名用户建立目录
anon_other_write_enable=YES
#给虚拟用户设定权限，允许所有虚拟用户上传
 
2、为每个虚拟用户建立自己的配置文件，单独定义权限
可以给每个虚拟用户单独建立目录，并建立自己的配置文件。这样方便单独配置权限，并可以单独指定上传目录
 
1、修改配置文件
vi /etc/vsftpd/vsftpd.conf
user_config_dir=/etc/vsftpd/vusers_dir
#指定保存虚拟用户配置文件的目录
 
2、手工建立目录
mkdir /etc/vsftpd/vusers_dir
 
3、为每个虚拟用户建立配置文件
vi /etc/vsftpd/vusers_dir/cangls
anon_upload_enable=YES    #允许(虚拟)匿名用户上传
anon_mkdir_write_enable=YES #允许(虚拟)匿名用户建立目录
anon_other_write_enable=YES
#允许此用户上传
local_root=/tmp/vcangles
#给cangls指定独立的上传目录
 
4、建立上传目录
mkdir /tmp/vcangls
Chown vuser:vuser /tmp/vangls
 
如果不给bols指定单独的配置文件，则遵守主配置文件（/etc/vsftpd/vsftpd.conf）的权限。
 
 
 
配置效果如下：
禁止匿名用户登录（配置文件修改）
禁止本地系统用户登录（pam文件修改）
允许虚拟用户登录（配置文件修改）
cangls的上传目录是/tmp/vcangls并且允许查看，下载，上传
bols的上传目录是虚拟用户的默认目录/home/vftproot，只能查看，下载。但是 不能上传