vsftp
FTP服务器默认使用TCP协议的20,21端口与客户端进行通信。21端口用于建立控制连接,并传输FTP控制命令,20端口用于建立数据连接,并传输文件数据。
[root@linux ~]# rpm -ivh /media/RHEL_5.5\ i386\ DVD/Server/vsftpd-2.0.5-16.el5_4.1.i386.rpm
warning: /media/RHEL_5.5 i386 DVD/Server/vsftpd-2.0.5-16.el5_4.1.i386.rpm: Header V3 DSA signature: NOKEY, key ID 37017186
Preparing... ########################################### [100%]
1:vsftpd ########################################### [100%]
[root@linux ~]#
安装好vsftp软件包后,将自动添加vsftp系统服务,通过“/etc/init.d/vsftp”脚本可以控制vsftp服务的启动和终止,而无须手动执行“/usr/sbin/vsftpd”程序。
vsftp服务的配置文件默认位于/etc/vsftp/文件夹中,主要包括用户控制列表文件(ftpusers, user_list)和主配置文件(vsftpd.conf)。
ftpusers和user_list文件中包含一份FTP用户的列表,两个文件虽然都用于FTP用户的控制,但是具体作用存在一些差异
ftpusers文件:该文件包含的用户账户将被禁止登录vsftp服务器,不管该用户是否在user_list文件中出现。通常将root,bin,daemon等特殊用户在该文件中,禁止用于登录FTP服务
user_list文件:该文件中包含的用户账户可能被禁止登录,也可能被允许登录,具体在主配置文件vsftpd.conf中决定。当存在“userlist_enable=YES”配置项时,user_list文件生效,如果配置“userlist_deny=YES” 则仅禁止列表中的用户账户登录,如果配置“userlist=deny=NO”则仅允许列表中的用户账户登录
ftpusers文件为vsftpd服务器提供了一份用于禁止登录的FTP用户列表,而user_list文件提供了一份可灵活控制的FTP用户列表。二者相互结合,为FTP用户控制提供了良好的基础。
vsftpd.conf常见配置项及含义说明
作用范围 配置项及示例 含义说明
匿名用户 anonymous_enable=YES 是否允许匿名访问
anon_umask=022 设置匿名用户所上传文件的默认权限掩码值
anon_root=/var/ftp 设置匿名用户的FTP根目录(缺省为/var/ftp)
anon_upload_enable=YES 是否允许匿名用户上传文件
anon_mkdir_write_enable=YES 是否允许匿名用户有创建目录的写入权限
anon_other_write_enable=YES 是否允许匿名用户有其他写入权限。如对文件改名,覆盖及删除文件
anon_max_rate=0 限制匿名用户的最大传输速率(0为无限制)单位为字节
本地用户 local_enable=YES 是否允许本地系统用户访问
local_umask=022 设置本地用户所上传文件的默认权限掩码值
local_root=/var/ftp 设置本地用户的FTP根目录(却省为用户的宿主目录)
chroot_local_user=YES 是否将FTP本地用户禁止在宿主目录中
local_max_rate=0 限制本地用户的最大传输速率(0为无限制)单位为字节
全局配置 listen=YES 是否以独立运行的方式监听服务
listen_port=21 设置监听FTP服务的端口号
write_enable=YES 启用任何形式的写入权限(如上传,删除文件等)都需要开启此项
download_enable=YES 是否允许下载文件(建立仅限于浏览,上传的FTP服务器是可将其设为NO)
dirmessage_enable=YES 用户切换进入目录时显示 .message文件(如果存在)的内容
xferlog_enable=YES 启用xferlog日志,默认记录到“/var/log/xferlog”文件
xferlog_std_format=YES 启用标准的xferlog日志格式,若禁用次选项,将使用vsftp自己的日志格式
connect_from_port_20=YES 允许服务器主动模式(从20端口建立数据连接)
pasv_enable=YES 允许被动模式连接
pasv_max_port=24600 设置用于被动模式的服务器最大端口号
pasv_min_port=24500 设置用于被动模式的服务器最小端口号
pam_service_name=vsftpd 设置用户认证的PAM文件位置(/etc/pam.d/目录中对应的文件名)
userlist_enable=YES 是否启用user_list用户列表文件
userlist_deny=YES 是否禁止user_list列表文件中的用户账号
max_per_ip=0 对来自相同IP地址的客户端,最多允许多个并发连接(0为无限制)
tcp_wrappers=YES 是否启用TCP_Wrappers主机访问控制(TCP_Wrappers的应用将在后来课程中讲解)
匿名FTP:访问匿名FTP服务器时不需要密码,只需要用户名“ftp”或“anonymous”即可通过验证。当需要提供公开访问的文件下载资源(如ftp.redhat.com),或者上用户上传一些无需保密的数据资料时,可以选择搭建匿名FTP服务器。
匿名用户对应的系统账号为ftp,其宿主目录为“/var/ftp”该目录也就是匿名用户访问vsftp服务时所在的根目录(可以通过anon_root配置项更改)。将其中pub子目录的属主修改为ftp,保留其可写权限,可提供给匿名用户上传文件使用。
调整匿名上传目录权限,并准备下载测试文件。
[root@linux ~]# ls -dl /var/ftp/pub/ //查看vsftp的根目录权限
drwxr-xr-x 2 root root 4096 2009-12-04 /var/ftp/pub/
[root@linux ~]# chown ftp /var/ftp/pub/ //修改根目录的属主
[root@linux ~]# ls -dl /var/ftp/pub/ //修改后的结果
drwxr-xr-x 2 ftp root 4096 2009-12-04 /var/ftp/pub/
[root@linux ~]# tar jcf /var/ftp/pub/ftpconfig.tar.bz2 /etc/vsftpd/ //复制文件供下载测试使用
tar: 从成员名中删除开头的“/”
[root@linux ~]#
[root@linux ~]# vim /etc/vsftpd/vsftpd.conf //修改主配置文件
anonymous_enable=YES //允许匿名用户访问
local_enable=NO //若不需要启用本地用户,可以将此项设置为NO
write_enable=YES //允许开放写入权限
anon_umask=022 //设置匿名用户上传建立文件时的权限掩码
anon_upload_enable=YES //允许匿名上传文件
anon_mkdir_write_enable=YES //允许匿名用户创建目录
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=YES
pam_service_name=vsftpd
userlist_enable=NO //未启用本地用户时,可以将用户列表功能禁用
tcp_wrappers=YES
…..上下配置文件中以#开头的注释文全为略过
如果希望匿名用户在上传目录中能够进行覆盖,删除,重命名文件等写入操作,还可以添加“anon_other_write_enable=YES”的配置项。此项配置可能带来安全性问题,应谨慎使用
[root@linux ~]# service vsftpd start //启用FTP服务
为 vsftpd 启动 vsftpd: [确定]
以命令方式访问FTP服务
[root@linux5 ~]# ftp 192.168.1.1 //登录vsftpd服务器
Connected to 192.168.1.1.
220 (vsFTPd 2.0.5)
530 Please login with USER and PASS.
530 Please login with USER and PASS.
KERBEROS_V4 rejected as an authentication type
Name (192.168.1.1:root): ftp //以匿名用户进行认证
331 Please specify the password.
Password: //密码可以为空或任意字符
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls //查看FTP根目录下的文件,目录列表
227 Entering Passive Mode (192,168,1,1,150,9)
150 Here comes the directory listing.
drwxr-xr-x 2 14 0 4096 Jan 09 02:27 pub
226 Directory send OK.
ftp> cd pub //切换目录
250 Directory successfully changed.
ftp> ls //确定是否切换
227 Entering Passive Mode (192,168,1,1,36,86)
150 Here comes the directory listing.
-rw-r--r-- 1 0 0 2655 Jan 09 01:50 ftpconfig.tar.bz2
226 Directory send OK.
ftp> get ftpconfig.tar.bz2 //下载服务器中的ftpconfig.tar.bz2文件到本地
local: ftpconfig.tar.bz2 remote: ftpconfig.tar.bz2
227 Entering Passive Mode (192,168,1,1,59,99)
150 Opening BINARY mode data connection for ftpconfig.tar.bz2 (2655 bytes).
226 File send OK.
2655 bytes received in 0.024 seconds (1.1e+02 Kbytes/s)
ftp> put install.log //上传本地的install.log文件到服务器
local: install.log remote: install.log
227 Entering Passive Mode (192,168,1,1,186,32)
150 Ok to send data.
226 File receive OK.
30057 bytes sent in 0.048 seconds (6.1e+02 Kbytes/s)
ftp> ls //查看上传目录中的文件属性
227 Entering Passive Mode (192,168,1,1,72,154)
150 Here comes the directory listing.
-rw-r--r-- 1 0 0 2655 Jan 09 01:50 ftpconfig.tar.bz2
-rw-r--r-- 1 14 50 30057 Jan 09 02:38 install.log
226 Directory send OK.
ftp> quit //断开FTP连接并退出
421 Timeout.
[root@linux5 ~]# ls -lh ftpconfig.tar.bz2
-rw-r--r-- 1 root root 2.6K 01-09 10:37 ftpconfig.tar.bz2
如果只下载文件也可以使用wget工具,指定服务器地址及文件路径即可进行下载
[root@linux5 ~]# wget ftp://192.168.1.1/pub/ftpconfig.tar.bz2 //wget工具下载
--2011-01-09 10:52:24-- ftp://192.168.1.1/pub/ftpconfig.tar.bz2
=> `ftpconfig.tar.bz2'
Connecting to 192.168.1.1:21... 已连接。
正在以 anonymous 登录 ... 登录成功!
==> SYST ... 完成。 ==> PWD ... 完成。
==> TYPE I ... 完成。 ==> CWD /pub ... 完成。
==> SIZE ftpconfig.tar.bz2 ... 2655
==> PASV ... 完成。 ==> RETR ftpconfig.tar.bz2 ... 完成。
长度:2655 (2.6K)
100%[=====================================================================>] 2,655 --.-K/s in 0s
2011-01-09 10:52:24 (257 MB/s) - `ftpconfig.tar.bz2' saved [2655]
[root@linux5 ~]#
本地用户FTP
vsftpd可以直接使用linux系统的本地用户作为FTP用户,提供基于用户/密码的登录验证。使用本地用户登录FTP服务器后,默认将位于自己的宿主目录中,且在宿主目录中拥有读写权限,并允许切换到其他目录。使用chroot_local_user配置项可以将本地用户禁止锢在宿主目录中(部允许切换袋其他目录)。使用local_root配置项可以将本地用户的FTP根目录设置为同一个文件夹。
以配置一个基于本地用户并进行宽带,用户数限制的FTP服务器为例
添加FTP用户(即为本地用户)
[root@linux ~]# useradd qiao //添加用户
[root@linux ~]# passwd qiao //添加用户密码
Changing password for user qiao.
New UNIX password: //设置密码
BAD PASSWORD: it is WAY too short
Retype new UNIX password: //确认密码
passwd: all authentication tokens updated successfully.
[root@linux ~]# ls -lh /etc/*.conf > /home/qiao/etcconf.list //建立测试文件
[root@linux ~]# vim /etc/vsftpd/vsftpd.conf //修改配置文件
anonymous_enable=NO //若不需要启用匿名访问,可将此选项设为NO
local_enable=YES //允许本地用户访问
write_enable=YES //允许开发写入权限
local_umask=022 //设置本地用户上传建立文件时的权限掩码
chroot_local_user=YES //为安全起见,建议将用户禁锢于其宿主目录中
max_clients=20 //限制并发客户连接数位最多20个
max_per_ip=2 //限制来自同一IP的客户连接数最多2个
local_max_rate=102400 //本地用户下载,上传限速为100KB/s
pasv_enable=YES //允许被动模式并设置端口范围
pasv_min_port=24500
pasv_max_port=24600
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=YES
pam_service_name=vsftpd
userlist_enable=YES
tcp_wrappers=YES
[root@linux ~]# vim /etc/vsftpd/user_list
qiao //添加此行,并注释掉其他内容
[root@linux ~]# vim /etc/vsftpd/vsftpd.conf //修改配置文件
userlist_enable=YES //添加此行时user_list列表用户禁止登录
userlist_deny=NO //添加此行时user_list列表用户允许登录
[root@linux ~]# service vsftpd restart //重启服务
关闭 vsftpd: [确定]
为 vsftpd 启动 vsftpd: [确定]
建立基于虚拟用户的vsftpd服务
vsftpd服务同时支持匿名用户,本地用户和虚拟用户三类账号,使用虚拟用户账号可以提供集中管理的FTP根目录,同时将于FTP登录的用户名。密码与系统用户账号区分开,进一步加强了FTP服务器的安全性。
建立虚拟用户的用户名/密码数据库
vsftpd服务的虚拟用户数据库使用Berkeley DB格式的数据文件。建立该数据库文件需要用到db_load命令工具
[root@linux ~]# rpm -ivh /media/RHEL_5.5\ i386\ DVD/Server/db4-utils-4.3.29-10.el5.i386.rpm
//安装db_load命令工具
warning: /media/RHEL_5.5 i386 DVD/Server/db4-utils-4.3.29-10.el5.i386.rpm: Header V3 DSA signature: NOKEY, key ID 37017186
Preparing... ########################################### [100%]
1:db4-utils ########################################### [100%]
[root@linux ~]# vim /etc/vsftpd/vusers.list //建立文本格式的用户名/密码文件
usera //奇数行为用户名
123456 //偶数行为上一行中用户所对应的密码
userb //第二个用户
123456 //对应的密码
[root@linux ~]# cd /etc/vsftpd/ //切换目录
[root@linux vsftpd]# db_load -T -t hash -f vusers.list vusers.db //将列表文件转化为DB数据库
[root@linux vsftpd]# file vusers.db //查看文件类型
vusers.db: Berkeley DB (Hash, version 8, native byte-order)
[root@linux vsftpd]# chown 600 /etc/vsftpd/vusers.* //降低文件权限以提供安全性
在db.load命令中,“-f”选项用于指定用户名/密码列表文件,“-T”选项允许Berkey DB的应用程序使用从文本格式转换的DB数据文件,“-t hash”选项允许指定读取数据文件的基本方法。
[root@linux ~]# useradd -d /var/ftproot -s /sbin/nologin virtual //建立映射账号virtual
[root@linux ~]# chmod 755 /var/ftproot/ //更改FTP根目录权限
[root@linux ~]# ls -lh /boot > /var/ftproot/vutest.file //建立测试文件
vsftpd虚拟用户需要有一个对应的系统用户账号(该账号无需设置密码及登录Shell),该用户账号的宿主目录作为所有虚拟用户登录后共同FTP根目录。
建立PAM认证文件
PAM配置文件主要用于为程序提供用户认证控制,vsftpd服务使用的默认PAM配置文件为“/etc/pam.d/vsftpd”可以参考该文件的格式建立新的PAM配置文件,用于虚拟用户认证控制,配置时注意将db选项指定为先前建立的虚拟用户数据文件vusers(省略.db扩展名)。
[root@linux ~]# vim /etc/pam.d/vsftpd.vu
#%PAM-1.0
auth required pam_userdb.so db=/etc/vsftpd/vusers
account required pam_userdb.so db=/etc/vaftpd/vusers
修改vsftpd.conf配置文件,添加虚拟用户支持
在vsftpd.conf配置文件中添加guest_enable,guest_username配置项,将访问FTP服务的所有虚拟用户对应到同一系统用户账号virtual,并修改pam_service_name配置项,指定上一步建立的PAM配置文件“/etc/pam.d/vsftpd.vu”。
anonymous_enable=NO
local_enable=YES //使用虚拟用户需要启用本地用户
write_enable=YES
anon_umask=022 //设置虚拟用户所上传文件 的默认权限掩码
guest_enable=YES //启用用户映射功能
guest_username=virtual //将映射用户指定为virtual
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=YES
pam_service_name=vsftpd.vu //修改使用的PAM文件位置
userlist_enable=YES
tcp_wrappers=YES
在vsftpd服务中, 虚拟用户账号默认作为匿名用户处理以降低权限,因此对应的权限设置通常使用anon_开头的配置项。例如,在设置虚拟用户所有上传文件的默认权限掩码时应采用配置项anon_uamsk而不是local_umask。
为不同的虚拟用户建立独立的配置文件
通过前面的四个步骤,实际上已经可以重新启动vsftpd斌提供服务了,使用虚拟用账号可以登录FTP服务器并下载文件。以下步骤将设置如何为个别虚拟用户设置不同的访问权限。
修改vsftpd.conf主配置文件,添加用户配置目录支持
[root@linux ~]# vim /etc/vsftpd/vsftpd.conf //修改主配置文件
user_config_dir=/etc/vsftpd/vuser_dir //添加此行配置项,指定用户配置目录位置
[root@linux ~]# mkdir /etc/vsftpd/vusers_dir //创建用户配置目录
[root@linux ~]# cd /etc/vsftpd/vusers_dir/ //切换目录
[root@linux vusers_dir]# vim usera //为usera用户建立独立的配置文件
anon_upload_ebanle=YES //允许用户有上传文件的权限
anon_mkdir_write_enable=YES //允许用户有创建目录的写入权限
[root@linux vusers_dir]# touch userb //为userb用户创建空配置文件(无额外权限设置)
[root@linux ~]# service vsftpd restart //重新启动
关闭 vsftpd: [确定]
为 vsftpd 启动 vsftpd: [确定]
[root@linux ~]# chkconfig --list vsftpd
vsftpd 0:关闭 1:关闭 2:关闭 3:关闭 4:关闭 5:关闭 6:关闭
[root@linux ~]# chkconfig --level 35 vsftpd on
[root@linux ~]# chkconfig --list vsftpd
vsftpd 0:关闭 1:关闭 2:关闭 3:启用 4:关闭 5:启用 6:关闭
如果需要禁用或者仅允许一部分虚拟用户账号,同样可以使用“/etc/vsftpd/user_list”列表文件。需要注意的是,在“/etc/vaftpd/ftpusers”文件中加入虚拟用户名,并不能禁用对应的系统账号。
测试虚拟用户账户将得到以下结果
使用usera用户可以登录vsftpd服务器,且可以浏览,下载文件,也可以上传文件。
使用userb用户可以登录vsftpd服务器,并可以浏览,下载文件,但无法上传文件。
使用匿名用户或其他系统用户时,将不能登录该vsftpd服务器。