FTP文件传输服务
FTP（File Transfer Protocol，文件传输协议)是典型的C/S结构的应用层协议，需要由服务器端软件、客户端软件两个部分共同实现文件传输功能。
FTP连接及传输模式
FTP服务器默认使用TCP协议的20、21端口与客户端进行通信。20端口用与建立数据连接，并传输文件数据；21端口用与建立控制连接，并传输FTP控制命令。根据FTP服务器在建立数据连接过程中的主、被动关系，FTP数据连接分为主动模式和被动模式
主动模式：服务器主动发起数据连接。首先由客户端向服务器端的21端口建立FTP控制连接，当需要传输数据时，客户端以PORT命令告知服务器“我开启了某端口，你过来连接我”于是服务器从20端口向客户端的该端口发送请求并建立数据连接。
被动模式：服务器被动等待数据连接。如果客户机所在网络的防火墙禁止主动模式连接，通常会使用被动模式。首先由客户端向服务端的21端口建立FTP控制连接，当需要传输数据时，服务器以PASV命令告知客户端“我打开了某端口，你过来连接我，”于是客户端向服务器的该端口（非20）发送请求并建立数据连接。
FTP传输模式：
文本模式：ASCLL模式，以文本序列传输数据，用与纯文本模式的传输
二进制模式：Binary模式，以二进制序列传输数据，适合传输程序、图片等非纯文本字符的文件。
FTP用户类型：
匿名用户：使用FTP客户端访问服务器时，用户名为ftp或anonymous，提供任意密码，或空密码都可以通过验证的叫匿名用户
本地用户：使用本机系统用户账号来进行验证叫本地用户。
虚拟用户：有些FTP服务器软件还可以维护一份独立的用户数据库文件，而不是直接使用系统用户账号。这些位于独立数据库文件中的FTP用户账号叫做虚拟用户。
FTP服务器软件的种类：
Windows系统中常见的FTP服务器软件包括FileZilla Sener、Serv-U等，而在Linux操作系统中vsftpd是最应用广泛的。
vsftpd服务的名称来源于“Very Secure FTP Daemon”，该软件针对安全性方面做了大量的设计。除了安全性以外，vsftpd在速度和稳定性方面的表现也相当突出。根据ftp.redhat.com服务器反应的数据，vsftpd可以支持15000个用户并发连接。
vsftpd的配置文件
用户列表文件ftpusers和user_list
在ftpusers、user_list文件中，各自记录了若干个FTP用户的账户名称，两个列表文件都用与FTP登录控制，但是控制方式存在一些差别。
ftpusers文件：此文件中列出的用户将禁止登录vsftpd服务器，不管该用户是否在user_list文件中出现。该文件默认包括root、bin、daemon等用于系统运行的特殊用户。
user_list文件：此文件中包含的用户是否允许登录ftp服务器取决于，配置文件（/etc/vsftpd/vsftpd.conf）当存在userlist_enable=YES时表示user_list文件以被启用，若指定：userlist_deny=YES时则在user_list文件中的用户将禁止登录ftp，=NO时，则在user_list文件中的用户将允许登录。（灰名单）
ftpusers文件相当于黑名单，为vsftpd服务器提供了一份禁止登录的用户列表；而user_list文件提供了一份可以灵活控制的用户列表。二者相互结合，为FTP账号的登录提供了便捷的途径。
主配置文件/etc/vsftpd/vsftpd.conf
[root@localhost ~]# grep -v "^#" /etc/vsftpd/vsftpd.conf | grep -v "^$" //过滤出有用的配置项
#匿名用户配置
anonymous_enable=YES //是否允许匿名访问
anon_umask=022 //设置匿名用户所上传文件的默认权限掩码值
anon_root=/var/ftp //设置匿名用户的FTP根目录（默认为/var/ftp/）
anon_upload_enable=YES //是否允许匿名用户上传文件
anon_mkdir_write_enable=YES //是否允许匿名用户有创建目录的写入权限
anon_other_write_enable=YES //是否允许匿名用户有其他写入权限，如对文件名的修改、及覆盖、删除文件等
#本地用户配置
local_enable=YES //是否允许启用本地系统用户
local_umask=022 //设置本地用户所上传文件的默认权限掩码值，umask是权限中‘拿走’相应的位
local_root=/var/ftp //设置本地用户的FTP根目录（默认为用户的宿主目录）
chroot_local_user=YES //是否将FTP本地用户禁锢在宿主目录中，针对的是local_root配置
local_max_rate=200000 //限制本地用户传输速率为200kb/s
#全局配置
listen=NO //是否以独运行方式监听服务
listen_address=192.168.100.21 //只在一个网络接口监听服务
listen_port=21 //监听端口改为21
write_enable=YES //是否允许写入，全局配置
download_enable=YES //是否允许下载文件（建立仅限于浏览、上传的FTP服务器时可将其设为“NO”）
dirmessage_enable=YES //FTP服务器的用户可以在首次进入新目录时显示消息
xferlog_enable=YES //是否启用上传下载文件的日志记录
xferlog_std_format=YES //启用后，将记录所有FTP请求和响应，以标准 xferlog 的格式书写
connect_from_port_20=YES //建立数据连接开放的端口
chown_uploads=YES //设定是否允许改变上传文件的属主，与下面一个设定项配合使用， 注意，不推荐使用root用户上传文
chown_username=whoever //设置想要改变的上传文件的属主，如果需要，则输入一个系统用户名, 可以把上传的文件都改成root属主。whoever：任何人
xferlog_file=/var/log/xferlog //设定系统维护记录FTP服务器上传和下载情况的日志文件, /var/log/vsftpd.log是默认的，也可以另设其它
pasv_enable=NO //禁止被动模式连接
pasv_min_port=24500 //指定被动模式的下限端口
pasv_max_port=24600 //指定被动模式的上限端口
pam_service_name=vsftpd //设置用与用户认证的PAM文件位置（/etc/pam.d/目录中对应的文件名）
userlist_enable=YES //是否启用用户控制列表功能
userlist_deny=YES //是否仅禁止用户控制列表中的用户登录ftp
max_clients=20 //限制并发客户连接最多20个
max_per_ip=2 //限制每个IP地址的连接数最多为两个
tcp_wrappers=YES //是否启用tcpwrappers安全机制
idle_session_timeout=600 //设置数据传输中断间隔时间，此语句表示空闲的用户会话中断时间为600秒,即当数据传输结束后，用户连接FTP服务器的时间不应超过600秒。可以根据实际情况对该值进行修改
data_connection_timeout=120 //设置数据连接超时时间，该语句表示数据连接超时时间为120秒，可根据实际情况对其个修改
nopriv_user=ftpsecure //运行vsftpd需要的非特权系统用户，缺省是nobody
async_abor_enable=YES //是否识别异步ABOR请求。如果FTP client会下达“async ABOR”这个指令时，这个设定才需要启用，而一般此设定并不安全，所以通常将其取消
ascii_upload_enable=YES //是否以ASCII方式传输数据。默认情况下，服务器会忽略ASCII方式的请求。 启用此选项将允许服务器以ASCII方式传输数据,不过，这样可能会导致由"SIZE /big/file"方式引起的DoS攻击
ascii_download_enable=YES
ftpd_banner=Welcome to blah FTP service. //登录FTP服务器时显示的欢迎信息,如有需要，可在更改目录欢迎信息的目录下创建名为.message的文件，并写入欢迎信息保存后
deny_email_enable=YES //黑名单设置。如果很讨厌某些email address，就可以使用此设定来取消他的登录权限,可以将某些特殊的email address抵挡
banned_email_file=/etc/vsftpd/banned_emails //当上面的deny_email_enable=YES时，可以利用这个设定项来规定哪些邮件地址不可登录vsftpd服务器， 此文件需用户自己创建，一行一个email address即可
chroot_list_enable=YES //用户登录FTP服务器后是否具有访问自己目录以外的其他文件的权限, 设置为YES时，用户被锁定在自己的home目录中，vsftpd将在下面chroot_list_file选项值的位置寻找chroot_list文件,必须与下面的设置项配合
chroot_list_file=/etc/vsftpd/chroot_list //被列入此文件的用户，在登录后将不能切换到自己目录以外的其他目录,从而有利于FTP服务器的安全管理和隐私保护。此文件需自己建立
ls_recurse_enable=YES //是否允许递归查询。默认为关闭，以防止远程用户造成过量的I/O
listen_ipv6=YES //设定是否支持IPV6。如要同时监听IPv4和IPv6端口， 则必须运行两套vsftpd，采用两套配置文件, 同时确保其中有一个监听选项是被注释掉的基于系统用户的FTP服务
以下配置操作均在关闭防火墙和selinux下进行的
匿名访问的FTP服务
过滤出有用配置行
grep -v "^#" /etc/vsftpd/vsftpd.conf.bak | grep -v "^$" >>vsftpd.conf
anonymous_enable=YES
anon_upload_enable=NO
anon_root=/anon_data1 //设置匿名用户的FTP根目录（默认/var/ftp）
anon_upload_enable=NO //是否允许匿名用户上传文件
anon_mkdir_write_enable=NO //是否允许匿名用户有创建目录的写入权限
anon_other_write_enable=NO //是否允许匿名用户有其他写入权限，如对文件改名、覆盖及删除文件等
local_enable=NO
write_enable=NO
local_umask=022
dirmessage_enable=YES //进入目录的欢迎信息，在目录下创建“.message”文件，文件里的内容就是显示的信息
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=YES
pam_service_name=vsftpd
tcp_wrappers=YES
ftpd_banner=Welcome to blah FTP service.ftp默认的根目录为/var/ftp，默认其他用户和匿名用户没有写入权限
客户机验证：
在服务器端的ftp目录创建文件
[root@localhost /]# cd anon_data1/
[root@localhost anon_data1]# touch 1.txtWindows访问，可以下载但不能上传，
使用cmd看欢迎消息
首先在服务器端的anon_data1目录创建一个.message的文件
[root@localhost anon_data1]# vim .message
hello word ***************zhangbo****************
~在cmd测试
C:\Users\BEAUTIFUL>ftp 192.168.234.50
连接到 192.168.234.50。
220 Welcome to blah FTP service.
200 Always in UTF8 mode.
用户(192.168.234.50:(none)): ftp
331 Please specify the password.
密码:
230-hello word ***************zhangbo****************
230 Login successful.
ftp> ls
200 PORT command successful. Consider using PASV.
150 Here comes the directory listing.
1.txt
226 Directory send OK.
ftp: 收到 10 字节，用时 0.01秒 1.11千字节/秒。
ftp>在知道要下载的文件完整URL的情况下，可以使用wget命令下载该文件
为了效果明显一点，再启动一台Linux测试匿名下载
#服务端创建压缩包测试
[root@localhost anon_data1]# tar zcfP /anon_data1/vsftpd.tar.gz /etc/vsftpd/
[root@localhost anon_data1]# ll
total 4
-rw-r--r-- 1 root root 0 Apr 12 18:28 1.txt
-rw-r--r-- 1 root root 3447 Apr 12 19:37 vsftpd.tar.gz
#客户端下载
[root@localhost ~]# wget ftp://192.168.234.50/vsftpd.tar.gz
--2020-04-12 19:38:13-- ftp://192.168.234.50/vsftpd.tar.gz
=> “vsftpd.tar.gz”
正在连接 192.168.234.50:21... 已连接。
正在以 anonymous 登录 ... 登录成功！
==> SYST ... 完成。 ==> PWD ... 完成。
==> TYPE I ... 完成。 ==> 不需要 CWD。
==> SIZE vsftpd.tar.gz ... 3447
==> PASV ... 完成。 ==> RETR vsftpd.tar.gz ... 完成。
长度：3447 (3.4K) (非正式数据)
100%[=======================================================================================================>] 3,447 --.-K/s 用时 0s
2020-04-12 19:38:13 (458 MB/s) - “vsftpd.tar.gz” 已保存 [3447]用户验证的FTP服务
基于匿名访问的环境
首先创建基于本地FTP的访问根目录，并赋予其他用户‘7’的权限
[root@localhost /]# mkdir local_data1
#赋予权限
[root@localhost /]# chmod 747 /local_data1/修改主配置文件
[root@localhost /]# vim /etc/vsftpd/vsftpd.conf
anonymous_enable=NO //禁用匿名用户
anon_upload_enable=YES
anon_root=/anon_data1
anon_mkdir_write_enable=NO
anon_other_write_enable=NO
local_enable=YES //启用本地用户
write_enable=YES
local_umask=022
chroot_local_user=NO //禁锢到用户宿主目录
local_root=/local_data1 //ftp根目录
allow_writeable_chroot=YES
#以下为全局配置
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=YES
pam_service_name=vsftpd
tcp_wrappers=YES
ftpd_banner=Welcome to blah FTP service.创建用与访问ftp服务的本地用户
[root@localhost ~]# useradd us1
[root@localhost ~]# passwd us1
Changing password for user us1.
New password:
BAD PASSWORD: The password fails the dictionary check - it is too simplistic/systematic
Retype new password:
passwd: all authentication tokens updated successfully.
[root@localhost ~]#开启服务验证：
Windows
Linux
#创建用与上传的测试文件
[root@localhost /]# echo "12345" >3.txt
#连接服务器
[root@localhost /]# ftp 192.168.234.50
Connected to 192.168.234.50 (192.168.234.50).
220 Welcome to blah FTP service.
Name (192.168.234.50:root): us1
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
227 Entering Passive Mode (192,168,234,50,112,44).
150 Here comes the directory listing.
-rw-r--r-- 1 0 0 0 Apr 12 12:14 1.txt
-rw-r--r-- 1 1001 1001 414613 Apr 12 13:25 10200406164609.png
drwxr-sr-x 2 1001 0 6 Apr 12 13:37 2.txt
-rw-r--r-- 1 1001 0 173046 Apr 12 13:28 nmnmn.jpg
-rw-r--r-- 1 1001 0 309439 Apr 12 13:25 服务器管理和工作原理00409164731.jpg
226 Directory send OK.
ftp> put 3.txt
local: 3.txt remote: 3.txt
227 Entering Passive Mode (192,168,234,50,107,212).
150 Ok to send data.
226 Transfer complete.
6 bytes sent in 7.8e-05 secs (76.92 Kbytes/sec)
ftp> ls
227 Entering Passive Mode (192,168,234,50,114,253).
150 Here comes the directory listing.
-rw-r--r-- 1 0 0 0 Apr 12 12:14 1.txt
-rw-r--r-- 1 1001 1001 414613 Apr 12 13:25 10200406164609.png
drwxr-sr-x 2 1001 0 6 Apr 12 13:37 2.txt
-rw-r--r-- 1 1001 0 6 Apr 12 14:07 3.txt
-rw-r--r-- 1 1001 0 173046 Apr 12 13:28 nmnmn.jpg
-rw-r--r-- 1 1001 0 309439 Apr 12 13:25 服务器管理和工作原理00409164731.jpg
226 Directory send OK.服务器查看3.txt
[root@localhost local_data1]# cat 3.txt
12345启用用户列表控制文件user_list
vsftpd服务器开启了local_enable配置项后，默认除root用户都可以登录到此FTP服务器。若只希望对一小部分开放FTP服务，就需要用户列表控制文件。
修改主配置文件
#修改主配置文件增加用户列表控制选项
userlist_enable=YES
userlist_deny=NO
root[root@localhost us1]# vim /etc/vsftpd/user_list
bin
daemon
adm
lp
sync
shutdown
halt
mail
news
uucp
operator
games
nobody
us1 //新加用户us1为什么上面的那几个用户登不上ftp因为它们同时存在于ftpusers文件
[root@localhost local_data1]# vim /etc/vsftpd/ftpusers
# Users that are not allowed to login via ftp
root
bin
daemon
adm
lp
sync
shutdown
halt
mail
news
uucp
operator
games
nobody再创建一个系统用户，看效果
#创建用户
[root@localhost local_data1]# useradd us2
[root@localhost local_data1]# passwd us2
Changing password for user us2.
New password:
BAD PASSWORD: The password fails the dictionary check - it is too simplistic/systematic
Retype new password:
passwd: all authentication tokens updated successfully.
#在客户端验证
[root@localhost ~]# ftp 192.168.234.50
Connected to 192.168.234.50 (192.168.234.50).
220 Welcome to blah FTP service.
Name (192.168.234.50:root): us2
530 Permission denied. //没有权限，拒绝访问
Login failed.
ftp> ^C
ftp> quit
221 Goodbye.
[root@localhost ~]# ftp 192.168.234.50
Connected to 192.168.234.50 (192.168.234.50).
220 Welcome to blah FTP service.
Name (192.168.234.50:root): us1
331 Please specify the password.
Password:
230 Login successful. //登录成功；用户控制列表生效
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
227 Entering Passive Mode (192,168,234,50,238,202).
150 Here comes the directory listing.
-rw-r--r-- 1 0 0 0 Apr 12 15:40 1.txt
226 Directory send OK.
ftp>将ftp目录禁锢在家目录
在主配置文件修改
chroot_local_user=YES
#local_root=/local_data1 //在紧固到家目录后，就把手工指向的这个目录注释掉基于虚拟用户的FTP服务
使用虚拟用户的好处在于，可以将FTP登录的账号与系统登录的账号区分开，用户名和密码都不相同，从而进一步增强了FTP服务器的安全性。
创建文本格式的用户名/密码列表（奇数代表用户名，偶数代表密码）
[root@localhost vsftpd]# vim /etc/vsftpd/vusers.list
us3
123
us4
123创建Berkeley DB格式的数据库文件
有文本格式的用户名/密码列表文件以后，以此文件为数据源通过db_load工具创建出Berkeley DB格式的数据库文件
（-f：指定数据库源文件，-T：允许非Berkeley DB的应用程序使用文本格式转换的DB数据文件，-t hash：指定读取数据库的文件的基本方法）
[root@localhost us1]# cd /etc/vsftpd/
[root@localhost vsftpd]# db_load -T -t hash -f vusers.list vusers.db
[root@localhost vsftpd]# file vusers.db
vusers.db: Berkeley DB (Hash, version 9, native byte-order)为提高虚拟用户账号文件安全性，应将文件权限设置为600，以避免数据泄露
[root@localhost vsftpd]# chmod 600 /etc/vsftpd/vusers.*添加虚拟用户的映射账号，创建FTP根目录
[root@localhost vsftpd]# useradd -d /var/ftproot -s /sbin/nologin virtual
[root@localhost vsftpd]# chmod 755 /var/ftproot/为vsftpd服务添加虚拟用户支持
为虚拟用户建立PAM认证文件
vsftpd服务默认的PAM认证文件位于/etc/pam.d/vsftpd,该文件适用于Linux主机的系统用户账号进行认证。若要读取虚拟用户的账号数据文件，则需要创建新的PAM认证配置。
[root@localhost vsftpd]# vim /etc/pam.d/vsftpd.vu
#%PAM-1.0
auth required pam_userdb.so db=/etc/vsftpd/vusers
account required pam_userdb.so db=/etc/vsftpd/vusers
修改vsftpd配置，添加虚拟用户支持
（虚拟用户默认作为匿名用户处理降低风险）
[root@localhost vsftpd]# vim /etc/vsftpd/vsftpd.conf
anonymous_enable=NO
local_enable=YES //因为映射到系统用户所以开启此选项
write_enable=YES
anon_umask=022
guest_enable=YES //开启虚拟用户
guest_username=virtual //设定虚拟用户使用的本地系统用户
pam_service_name=vsftpd.vu //修改身份认证方式支持虚拟用户登录
#user_config_dir=/etc/vsftpd/vusers_dir //设定虚拟用户配置文件存放目录路径(x下面的为不同的虚拟用户建立不同的配置文件需要用到它)
chroot_local_user=YES
#local_root=/local_data1
allow_writeable_chroot=YES
#以下为全局配置
#userlist_enable=YES
#userlist_deny=NO
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=YES
tcp_wrappers=YES
ftpd_banner=Welcome to blah FTP service.现在FTP其实就可以提供服务了
验证：
[root@localhost ~]# ftp 192.168.234.50
Connected to 192.168.234.50 (192.168.234.50).
220 Welcome to blah FTP service.
Name (192.168.234.50:root): us3
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
227 Entering Passive Mode (192,168,234,50,214,206).
150 Here comes the directory listing.
-rw-r--r-- 1 0 0 8 Apr 12 16:51 1.txt
226 Directory send OK.
ftp>为不同的虚拟用户建立独立的配置文件
在主配置文件中开启此项：#user_config_dir=/etc/vsftpd/vusers_dir（只要是开启了此项就必须为虚拟用户建立独立的配置文件，否则有可能无法登陆）
创建user_config_dir指向的目录，并为虚拟用户建立配置文件（建立空的配置文件，不能下载文件）
[root@localhost vsftpd]# mkdir /etc/vsftpd/vusers_dir
[root@localhost vsftpd]# cd /etc/vsftpd/vusers_dir/
[root@localhost vusers_dir]# vim us3
anon_umask=022
anon_upload_enable=YES
anon_mkdir_write_enable=YES
[root@localhost vusers_dir]# touch us4
验证：
[root@localhost ~]# touch test.txt
[root@localhost ~]# ftp 192.168.234.50
Connected to 192.168.234.50 (192.168.234.50).
220 Welcome to blah FTP service.
Name (192.168.234.50:root): us3
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
227 Entering Passive Mode (192,168,234,50,119,250).
150 Here comes the directory listing.
-rw-r--r-- 1 0 0 8 Apr 12 16:51 1.txt
-rw-r--r-- 1 1003 1003 414613 Apr 12 17:42 10200406164609.png
226 Directory send OK.
ftp> put test.txt
local: test.txt remote: test.txt
227 Entering Passive Mode (192,168,234,50,133,160).
150 Ok to send data.
226 Transfer complete.
ftp> ls
227 Entering Passive Mode (192,168,234,50,44,172).
150 Here comes the directory listing.
-rw-r--r-- 1 0 0 8 Apr 12 16:51 1.txt
-rw-r--r-- 1 1003 1003 414613 Apr 12 17:42 10200406164609.png
-rw-r--r-- 1 1003 1003 0 Apr 12 17:49 test.txt
226 Directory send OK.
ftp> quit
221 Goodbye.
[root@localhost ~]# ftp 192.168.234.50
Connected to 192.168.234.50 (192.168.234.50).
220 Welcome to blah FTP service.
Name (192.168.234.50:root): us4
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
227 Entering Passive Mode (192,168,234,50,29,90).
150 Here comes the directory listing.
-rw-r--r-- 1 0 0 8 Apr 12 16:51 1.txt
-rw-r--r-- 1 1003 1003 414613 Apr 12 17:42 10200406164609.png
-rw-r--r-- 1 1003 1003 0 Apr 12 17:49 test.txt
226 Directory send OK.
ftp> put test.txt
local: test.txt remote: test.txt
227 Entering Passive Mode (192,168,234,50,136,236).
550 Permission denied. //没有权限
ftp> get test.txt
local: test.txt remote: test.txt
227 Entering Passive Mode (192,168,234,50,134,83).
150 Opening BINARY mode data connection for test.txt (0 bytes).
226 Transfer complete. //传输完成
ftp>
本文章为转载内容，我们尊重原作者对文章享有的著作权。如有内容错误或侵权问题，欢迎原作者联系我们进行内容更正或删除文章。
