主动与被动模式

　　FTP的数据连接和控制连接一般是相反方向，即服务器向客户端发起一个用于数据传输的连接。连接的端口是由服务器端和客户端协商确定的，这就是vsftpd的主动模式（port  mod）。FTP协议的这个特征对iptables防火墙和NAT的配置增加了很多困难。在FTP被动模式(passive mod)下，数据连接是由客户程序发起的，和主动模式相反。被动模式要求，FTP Server 的防火墙开放 21 和 一个范围内的端口；主动模式就是 client 端开放一个随机端口，Server端主动去连接。

选择模式的原则

  • 客户端没有防火墙时，用主动模式连接即可。
  • 服务器端没有防火墙时，用被动模式即可。
  • 双方都有防火墙时，vsftpd设置被动端口范围，服务器端防火墙打开被动端口范围，客户端用被动模式连接即可。

配置文件说明

vim etc/vsftpd/vsftpd.conf

# 
是否允许匿名登录
anonymous_enable=YES
# 
是否允许本地用户登录
local_enable=YES
# 
是否允许本地用户对
FTP
服务器文件具有写权限
write_enable=YES
# 
本地用户主目录
local_root=/var/ftp
# 
匿名用户主目录
anon_root=/var/ftp/pub
# 
是否允许匿名用户上传文件，如允许，须将全局的
write_enable=YES anon_upload_enable=YES
# 
是否允许匿名用户创建新文件夹
anon_mkdir_write_enable=YES
# 
容许匿名用户除了新建和上传外的其他权限
anon_other_write_enable=YES
# 
本地用户掩码

 local_umask=022
# 
设置匿名登入者新增或上传档案时的
umask
值
anon_umask=022
# 
是否激活目录欢迎信息功能
dirmessage_enable=YES
xferlog_enable=YES
# 
主动模式数据传输
20
端口
connect_from_port_20=NO
xferlog_std_format=YES
# 
是否监听
ipv4
listen=YES
#
listen_ipv6=YES
pam_service_name=vsftpd
userlist_enable=YES
tcp_wrappers=YES
# 
是否设置被动模式
pasv_enable=YES
# 
被动模式传输使用端口
pasv_min_port=20020
pasv_max_port=20020
# 
被动模式返回给客户端的
ip
地址
(
服务器内网穿透时使用
)
pasv_address=0.0.0.0( 
服务器外网
ip )
# 
设置用户访问目录，默认只允许用户自己的
ftp
目录
# 
需要同时设置
allow_writeable_chroot
，允许受限用户的写权限，不然会报错
 chroot_local_user=YES
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list
allow_writeable_chroot=YES

配置文件修改

1.被动模式

在/etc/vsftpd/vsftpd.conf中添加或修改：



pasv_enable=YES



pasv_min_port=3000



pasv_max_port=3005



在iptables中开放这段端口：



iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT



iptables -A INPUT -p tcp -m state —state NEW -m tcp —dport 21 -j ACCEPT



iptables -A INPUT -p tcp —dport 3000:3005 -j ACCEPT



 



 

2.主动模式

在/etc/vsftpd/vsftpd.conf中添加或修改：

connect_from_port_20=YES
pasv_enable=NO

在iptables中开放端口：

-A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT



 



重启防火墙



service iptables restart



 



修改配置文件后重启

systemctl restart vsftpd