linux环境：FTP服务器搭建

驱魔姐妹快出新卡 發表於 2019-5-11 15:03:00

转载及参考至：https://www.linuxprobe.com/chapter-11.html
　　　　　　　https://www.cnblogs.com/lxwphp/p/8916664.html
感谢原作者的分享。
 
<h5>1 文件传输协议</h5>
一般来讲，人们将计算机联网的首要目的就是获取资料，而文件传输是一种非常重要的获取资料的方式。今天的互联网是由几千万台个人计算机、工作站、服务器、小型机、大型机、巨型机等具有不同型号、不同架构的物理设备共同组成的，而且即便是个人计算机，也可能会装有Windows、Linux、UNIX、Mac等不同的操作系统。为了能够在如此复杂多样的设备之间解决问题解决文件传输问题，文件传输协议（FTP）应运而生。
FTP是一种在互联网中进行文件传输的协议，基于客户端/服务器模式，默认使用20、21号端口，其中端口20（数据端口）用于进行数据传输，端口21（命令端口）用于接受客户端发出的相关FTP命令与参数。FTP服务器普遍部署于内网中，具有容易搭建、方便管理的特点。而且有些FTP客户端工具还可以支持文件的多点下载以及断点续传技术，因此FTP服务得到了广大用户的青睐。FTP协议的传输拓扑如图11-1所示。
<img src="https://img2018.cnblogs.com/blog/1682975/201905/1682975-20190511140335494-2133810542.png">
FTP服务器是按照FTP协议在互联网上提供文件存储和访问服务的主机，FTP客户端则是向服务器发送连接请求，以建立数据传输链路的主机。FTP协议有下面两种工作模式。
<blockquote>
主动模式：FTP服务器主动向客户端发起连接请求。
被动模式：FTP服务器等待客户端发起连接请求（FTP的默认工作模式）。
</blockquote>
（防火墙一般是用于过滤从外网进入内网的流量，因此有些时候需要将FTP的工作模式设置为主动模式，才可以传输数据。本文中使用的是被动模式）
<h5>2 Vsftpd服务程序</h5>
vsftpd作为更加安全的文件传输的服务程序，允许用户以三种认证模式登录到FTP服务器上。
匿名开放模式：是一种最不安全的认证模式，任何人都可以无需密码验证而直接登录到FTP服务器。
本地用户模式：是通过Linux系统本地的账户密码信息进行认证的模式，相较于匿名开放模式更安全，而且配置起来也很简单。但是如果被黑客破解了账户的信息，就可以畅通无阻地登录FTP服务器，从而完全控制整台服务器。
虚拟用户模式：是这三种模式中最安全的一种认证模式，它需要为FTP服务单独建立用户数据库文件，虚拟出用来进行口令验证的账户信息，而这些账户信息在服务器系统中实际上是不存在的，仅供FTP服务程序进行认证使用。这样，即使黑客破解了账户信息也无法登录服务器，从而有效降低了破坏范围和影响。
ftp是Linux系统中以命令行界面的方式来管理FTP传输服务的客户端工具。我们首先手动安装这个ftp客户端工具，以便在后续实验中查看结果。
 
3 FTP安装及服务开启、重启、关闭
首先检查一下你的远程服务器是否已经安装了FTP服务。
<div class="cnblogs_code">
<pre>#rpm -qa | grep vsftpd</pre>
</div>
<div class="jb51code"> </div>
如果啥都没显示，恭喜你，没有安装ftp服务，你可以安心安装。
运行下面的命令就可以完成vsftpd的安装
<div class="jb51code">
<div id="highlighter_74351" class="syntaxhighlighterbash">
<div class="cnblogs_code">
<pre>#yum -y install vsftpd</pre>
</div>
安装提示：
<div class="cnblogs_code"><img src="http://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif"><img id="code_img_opened_e6df0a9b-f1e7-4920-9d42-4d1d4c7d8690" class="code_img_opened lazyload" style="display: none" alt="" data-src="http://images.cnblogs.com/OutliningIndicators/ExpandedBlockStart.gif">
<div id="cnblogs_code_open_e6df0a9b-f1e7-4920-9d42-4d1d4c7d8690" class="cnblogs_code_hide">
<pre># yum install vsftpd
Loaded plugins: langpacks, product-id, subscription-manager
………………省略部分输出信息………………
================================================================================
Package Arch Version Repository Size
================================================================================
Installing:
vsftpd x86_64 3.0.2-9.el7 rhel 166 k
Transaction Summary
================================================================================
Install 1 Package
Total download size: 166 k
Installed size: 343 k
Is this ok : y
Downloading packages:
Running transaction check
Running transaction test
Transaction test succeeded
Running transaction
Installing : vsftpd-3.0.2-9.el7.x86_64 1/1
Verifying : vsftpd-3.0.2-9.el7.x86_64 1/1
Installed:
vsftpd.x86_64 0:3.0.2-9.el7
Complete!</pre>
</div>
View Code</div>
安装完成再次利用上面的rpm命令检查一下是否完成安装，如果完成安装，那就可以继续。
vsftpd服务程序的主配置文件（/etc/vsftpd/vsftpd.conf）内容总长度达到123行，但其中大多数参数在开头都添加了井号（#），从而成为注释信息。
 vsftpd服务程序常用的参数以及作用如下
<div class="cnblogs_code">
<pre>参数 作用
listen= 是否以独立运行的方式监听服务
listen_address=IP地址 设置要监听的IP地址
listen_port=21 设置FTP服务的监听端口
download_enable＝是否允许下载文件
userlist_enable= 设置用户列表为“允许”还是“禁止”操作
userlist_deny= 设置用户列表为“允许”还是“禁止”操作
max_clients=0 最大客户端连接数，0为不限制
max_per_ip=0 同一IP地址的最大连接数，0为不限制
anonymous_enable= 是否允许匿名用户访问
anon_upload_enable=是否允许匿名用户上传文件
anon_umask=022 匿名用户上传文件的umask值
anon_root=/var/ftp 匿名用户的FTP根目录
anon_mkdir_write_enable= 是否允许匿名用户创建目录
anon_other_write_enable= 是否开放匿名用户的其他写入权限（包括重命名、删除等操作权限）
anon_max_rate=0 匿名用户的最大传输速率（字节/秒），0为不限制
local_enable= 是否允许本地用户登录FTP
local_umask=022 本地用户上传文件的umask值
local_root=/var/ftp 本地用户的FTP根目录
chroot_local_user= 是否将用户权限禁锢在FTP目录，以确保安全
local_max_rate=0 本地用户最大传输速率（字节/秒），0为不限制</pre>
</div>
开启vsftpd服务
</div>
</div>
<div class="jb51code">
<div id="highlighter_359688" class="syntaxhighlighterbash">
<div class="cnblogs_code">
<pre>#service vsftpd start</pre>
</div>
#在centos 中使用 systemctl start vsftpd（我觉得上面的也可以）
</div>
</div>
检查vsftpd服务
<div class="jb51code">
<div id="highlighter_220565" class="syntaxhighlighterbash">
<div class="cnblogs_code">
<pre>#service vsftpd status</pre>
</div>
注意：关于防火墙的问题
CentOS7.0版本的linux系统的防火墙是firewalld，其他版本的可能是iptables（没有去确认）。
我这里装的时候把防火墙给永久关闭了。
firewalld防火墙关闭代码
关闭防火墙
<div class="cnblogs_code">
<pre> systemctl stop firewalld.service</pre>
</div>
永久禁止防火墙
<div class="cnblogs_code">
<pre>systemctl disable firewalld.service</pre>
</div>
检查防火墙状态
<div class="cnblogs_code">
<pre>systemctl status firewalld.service</pre>
</div>
提示：Active: inactive (dead)就表示关闭了。
iptables防火墙关闭代码
查询防火墙状态    :    # service   iptables status 停止防火墙   :            # service   iptables stop 启动防火墙   :            # service   iptables start 重启防火墙   :            # service   iptables restart 永久关闭防火墙    :    # chkconfig   iptables off 永久关闭后启用    :    # chkconfig   iptables on 
特别注意：不要卸载iptables防火墙，否则你会有大麻烦
 
如果因工作需求，无法关闭iptables防火墙，需要在iptables防火墙规则里添加FTP端口号：
（iptables防火墙）添加下面的代码到/etc/sysconfig/iptables里去。
（firewalld）添加下面的代码到/etc/sysconfig/firewalld里去。
<div class="jb51code">
<div id="highlighter_858705" class="syntaxhighlighterbash">
<div class="cnblogs_code">
<pre>-A INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT</pre>
</div>
</div>
</div>
重启防火墙服务
<div class="jb51code">
<div id="highlighter_819309" class="syntaxhighlighterbash">
<div class="cnblogs_code">
<pre>#systemctl restart iptables.service</pre>
</div>
 
3.1 匿名访问模式
前文提到，在vsftpd服务程序中，匿名开放模式是最不安全的一种认证模式。任何人都可以无需密码验证而直接登录到FTP服务器。这种模式一般用来访问不重要的公开文件（在生产环境中尽量不要存放重要文件）。当然，如果采用第8章中介绍的防火墙管理工具（如Tcp_wrappers服务程序）将vsftpd服务程序允许访问的主机范围设置为企业内网，也可以提供基本的安全性。
vsftpd服务程序默认开启了匿名开放模式，我们需要做的就是开放匿名用户的上传、下载文件的权限，以及让匿名用户创建、删除、更名文件的权限。需要注意的是，针对匿名用户放开这些权限会带来潜在危险，我们只是为了在Linux系统中练习配置vsftpd服务程序而放开了这些权限，不建议在生产环境中如此行事。表11-2罗列了可以向匿名用户开放的权限参数以及作用。
可以向匿名用户开放的权限参数以及作用
<div class="cnblogs_code">
<pre>参数作用
anonymous_enable=YES 允许匿名访问模式
anon_umask=022 匿名用户上传文件的umask值
anon_upload_enable=YES 允许匿名用户上传文件
anon_mkdir_write_enable=YES 允许匿名用户创建目录
anon_other_write_enable=YES 允许匿名用户修改目录名称或删除目录</pre>
</div>
快捷方法：直接向vsftpd服务程序的主配置文件（/etc/vsftpd/vsftpd.conf）中添加下面的配置参数，原本的参数都删了。
<div class="cnblogs_code">
<pre># vim /etc/vsftpd/vsftpd.conf
1 anonymous_enable=YES
2 anon_umask=022
3 anon_upload_enable=YES
4 anon_mkdir_write_enable=YES
5 anon_other_write_enable=YES
6 local_enable=YES
7 write_enable=YES
8 local_umask=022
9 dirmessage_enable=YES
10 xferlog_enable=YES
11 connect_from_port_20=YES
12 xferlog_std_format=YES
13 listen=NO
14 listen_ipv6=YES
15 pam_service_name=vsftpd
16 userlist_enable=YES
17 tcp_wrappers=YES</pre>
</div>
然后重启FTP服务。
<div class="cnblogs_code">
<pre># systemctl restart vsftpd
# systemctl enable vsftpd
ln -s '/usr/lib/systemd/system/vsftpd.service' '/etc/systemd/system/multi-user.target.wants/vsftpd.service</pre>
</div>
测试：现在就可以在客户端执行ftp命令连接到远程的FTP服务器了。在vsftpd服务程序的匿名开放认证模式下，其账户统一为anonymous，密码为空。而且在连接到FTP服务器后，默认访问的是/var/ftp/pub目录。我们可以切换到该目录下的pub目录中，然后尝试创建一个新的目录文件，以检验是否拥有写入权限：
</div>
</div>
<div class="cnblogs_code">
<pre># ftp 192.168.10.10
Connected to 192.168.10.10 (192.168.10.10).
220 (vsFTPd 3.0.2)
Name (192.168.10.10:root): anonymous
331 Please specify the password.
Password:此处敲击回车即可
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> cd pub
250 Directory successfully changed.
ftp> mkdir files
550 Permission denied.</pre>
</div>
系统显示拒绝创建目录，查看该目录的权限得知，只有root管理员才有写入权限。怪不得系统会拒绝操作呢！进入到/var/ftp/pub目录下，右键--属性--权限，将其他类的访问权限改为“创建和删除”，即可通过FTP在该目录下创建文件夹、上传、下载，更改文件名等操作。
 
如果还不行，系统提示“创建目录的操作失败”（Create directory operation failed），那就是SELinux服务在“捣乱”了吧。
下面使用getsebool命令查看与FTP相关的SELinux域策略都有哪些：
<div class="cnblogs_code">
<pre># getsebool -a | grep ftp
ftp_home_dir --> off
ftpd_anon_write --> off
ftpd_connect_all_unreserved --> off
ftpd_connect_db --> off
ftpd_full_access --> off
ftpd_use_cifs --> off
ftpd_use_fusefs --> off
ftpd_use_nfs --> off
ftpd_use_passive_mode --> off
httpd_can_connect_ftp --> off
httpd_enable_ftp_server --> off
sftpd_anon_write --> off
sftpd_enable_homedirs --> off
sftpd_full_access --> off
sftpd_write_ssh_home --> off
tftp_anon_write --> off
tftp_home_dir --> off</pre>
</div>
我们可以根据经验（需要长期培养，别无它法）和策略的名称判断出是ftpd_full_access--> off策略规则导致了操作失败。接下来修改该策略规则，并且在设置时使用-P参数让修改过的策略永久生效，确保在服务器重启后依然能够顺利写入文件。
<div class="cnblogs_code">
<pre># setsebool -P ftpd_full_access=on</pre>
</div>
<div> </div>
<div>或：关闭SELinux</div>
<div># vi /etc/selinux/config</div>
<div>将 SELINUX=XXX -->XXX 代表级别</div>
<div>改为</div>
<div>SELINUX=disabled</div>
然后重启系统，或者执行命令：setenforce 0。
现在便可以顺利执行文件创建、修改及删除等操作了。
<div class="cnblogs_code">
<pre># ftp 192.168.10.10
Connected to 192.168.10.10 (192.168.10.10).
220 (vsFTPd 3.0.2)
Name (192.168.10.10:root): anonymous
331 Please specify the password.
Password:此处敲击回车即可
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> cd pub
250 Directory successfully changed.
ftp> mkdir files
257 "/pub/files" created
ftp> rename files database
350 Ready for RNTO.
250 Rename successful.
ftp> rmdir database
250 Remove directory operation successful.
ftp> bye
221 Goodbye.</pre>
</div>
 
3..2 本地用户模式
相较于匿名开放模式，本地用户模式要更安全，而且配置起来也很简单。如果大家之前用的是匿名开放模式，现在就可以将它关了，然后开启本地用户模式。针对本地用户模式的权限参数以及作用如表11-3所示。
表11-3                                   本地用户模式使用的权限参数以及作用
<div class="cnblogs_code">
<pre>参数 作用
anonymous_enable=NO 禁止匿名访问模式
local_enable=YES 允许本地用户模式
write_enable=YES 设置可写权限
local_umask=022 本地用户模式创建文件的umask值
userlist_deny=YES 启用“禁止用户名单”，名单文件为ftpusers和user_list
userlist_enable=YES 开启用户作用名单文件功能</pre>
</div>
快捷方法：直接向vsftpd服务程序的主配置文件（/etc/vsftpd/vsftpd.conf）中添加下面的配置参数，原本的参数都删了。
<div class="cnblogs_code">
<pre># vim /etc/vsftpd/vsftpd.conf
1 anonymous_enable=NO
2 local_enable=YES
3 write_enable=YES
4 local_umask=022
5 dirmessage_enable=YES
6 xferlog_enable=YES
7 connect_from_port_20=YES
8 xferlog_std_format=YES
9 listen=NO
10 listen_ipv6=YES
11 pam_service_name=vsftpd
12 userlist_enable=YES
13 tcp_wrappers=YES</pre>
</div>
在vsftpd服务程序的主配置文件中正确填写参数，然后保存并退出。还需要重启vsftpd服务程序，让新的配置参数生效。在执行完上一个实验后还原了虚拟机的读者，还需要将配置好的服务添加到开机启动项中，以便在系统重启自后依然可以正常使用vsftpd服务。
<div class="cnblogs_code">
<pre># systemctl restart vsftpd
# systemctl enable vsftpd
ln -s '/usr/lib/systemd/system/vsftpd.service' '/etc/systemd/system/multi-user.target.wants/vsftpd.service</pre>
</div>
按理来讲，现在已经完全可以本地用户的身份登录FTP服务器了。但是在使用root管理员登录后，系统提示如下的错误信息：
<div class="cnblogs_code">
<pre># ftp 192.168.10.10
Connected to 192.168.10.10 (192.168.10.10).
220 (vsFTPd 3.0.2)
Name (192.168.10.10:root): root
530 Permission denied.
Login failed.
ftp></pre>
</div>
可见，在我们输入root管理员的密码之前，就已经被系统拒绝访问了。这是因为vsftpd服务程序所在的目录中默认存放着两个名为“用户名单”的文件（ftpusers和user_list）。不知道大家是否已看过一部日本电影“死亡笔记”（刘遄老师在上学期间的最爱），里面就提到有一个黑色封皮的小本子，只要将别人的名字写进去，这人就会挂掉。vsftpd服务程序目录中的这两个文件也有类似的功能—只要里面写有某位用户的名字，就不再允许这位用户登录到FTP服务器上。
<div class="cnblogs_code">
<pre># cat /etc/vsftpd/user_list
1 # vsftpd userlist
2 # If userlist_deny=NO, only allow users in this file
3 # If userlist_deny=YES (default), never allow users in this file, and
4 # do not even prompt for a password.
5 # Note that the default vsftpd pam config also checks /etc/vsftpd/ftpusers
6 # for users that are denied.
7 root
8 bin
9 daemon
10 adm
11 lp
12 sync
13 shutdown
14 halt
15 mail
16 news
17 uucp
18 operator
19 games
20 nobody</pre>
</div>
<div class="cnblogs_code">
<pre># cat /etc/vsftpd/ftpusers
# Users that are not allowed to login via ftp
1 root
2 bin
3 daemon
4 adm
5 lp
6 sync
7 shutdown
8 halt
9 mail
10 news
11 uucp
12 operator
13 games
14 nobody</pre>
</div>
果然如此！vsftpd服务程序为了保证服务器的安全性而默认禁止了root管理员和大多数系统用户的登录行为，这样可以有效地避免黑客通过FTP服务对root管理员密码进行暴力破解。如果您确认在生产环境中使用root管理员不会对系统安全产生影响，只需按照上面的提示删除掉root用户名即可。
我们也可以选择ftpusers和user_list文件中没有的一个普通用户尝试登录FTP服务器：
<div class="cnblogs_code">
<pre># ftp 192.168.10.10
Connected to 192.168.10.10 (192.168.10.10).
220 (vsFTPd 3.0.2)
Name (192.168.10.10:root): linuxprobe (普通用户)
331 Please specify the password.
Password:此处输入该用户的密码
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> mkdir files
550 Create directory operation failed.</pre>
</div>
<ul>
<li>在采用本地用户模式登录FTP服务器后，默认访问的是该用户的家目录，也就是说，访问的是/home/linuxprobe目录(系统创建的用户，在home文件夹下都有对应用户名的文件夹)。而且该目录的默认所有者、所属组都是该用户自己，因此不存在写入权限不足的情况。如果读写权限没给，手动设定，给读写权限。但是当前的操作仍然被拒绝，是因为我们刚才将虚拟机系统还原到最初的状态了。为此，需要再次开启SELinux域中对FTP服务的允许策略：</li>
<li>采用非本地用户模式登录，需创建FTP组“FTP”用户，与采用本地用户模式的区别是：采用非本地用户模式可以指定FTP文件夹。</li>
</ul>
　　新增ftp用户 vftpuser
<div class="jb51code">
<div id="highlighter_712471" class="syntaxhighlighterbash">
<div class="cnblogs_code">
<pre>#/usr/sbin/adduser -d /mnt/ftp -g ftp -s /sbin/nologin vftpuser</pre>
</div>
　　新增用户vftpuser，用户的主目录是/mnt/ftp 目录，用户组是ftp，不能登录的账户。
</div>
</div>
　　设置vftpuser密码
<div class="cnblogs_code">
<pre>#passwd vftpuser</pre>
</div>
　　回车后输入密码
<div class="jb51code">
<div id="highlighter_612034" class="syntaxhighlighterbash">　　修改/mnt/ftp/的目录权限</div>
</div>
<div class="cnblogs_code">
<pre>#chmod 755 /mnt/ftp/</pre>
</div>
　　重启vsftp服务
<div class="cnblogs_code">
<pre>#/sbin/service vsftpd restart</pre>
</div>
查看SElinux策略内ftp相关权限,并修改。
<div class="cnblogs_code">
<pre># getsebool -a | grep ftp
ftp_home_dir --> off
ftpd_anon_write --> off
ftpd_connect_all_unreserved --> off
ftpd_connect_db --> off
ftpd_full_access --> off
ftpd_use_cifs --> off
ftpd_use_fusefs --> off
ftpd_use_nfs --> off
ftpd_use_passive_mode --> off
httpd_can_connect_ftp --> off
httpd_enable_ftp_server --> off
sftpd_anon_write --> off
sftpd_enable_homedirs --> off
sftpd_full_access --> off
sftpd_write_ssh_home --> off
tftp_anon_write --> off
tftp_home_dir --> off 
# setsebool -P ftpd_full_access=on</pre>
</div>
或：关闭SELinux
<div style="margin-left: 30px"># vi /etc/selinux/config</div>
 
<div style="margin-left: 30px">将 SELINUX=XXX -->XXX 代表级别改为</div>
 
<div style="margin-left: 30px">SELINUX=disabled</div>
 
然后重启系统，或者执行命令：setenforce 0。
 
在实验课程和生产环境中设置SELinux域策略时，一定记得添加-P参数，否则服务器在重启后就会按照原有的策略进行控制，从而导致配置过的服务无法使用。
在配置妥当后再使用本地用户尝试登录下FTP服务器，分别执行文件的创建、重命名及删除等命令。操作均成功！
<div class="cnblogs_code">
<pre># ftp 192.168.10.10
Connected to 192.168.10.10 (192.168.10.10).
220 (vsFTPd 3.0.2)
Name (192.168.10.10:root): linuxprobe
331 Please specify the password.
Password:此处输入该用户的密码
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> mkdir files
257 "/home/linuxprobe/files" created
ftp> rename files database
350 Ready for RNTO.
250 Rename successful.
ftp> rmdir database
250 Remove directory operation successful.
ftp> bye
221 Goodbye.</pre>
</div>
 
3.3 虚拟用户模式
 
我们最后讲解的虚拟用户模式是这三种模式中最安全的一种认证模式，当然，因为安全性较之于前面两种模式有了提升，所以配置流程也会稍微复杂一些。
 
第1步：创建用于进行FTP认证的用户数据库文件，其中奇数行为账户名，偶数行为密码。例如，我们分别创建出zhangsan和lisi两个用户，密码均为redhat：
 
 
<div class="cnblogs_code">
<pre># cd /etc/vsftpd/
# vim vuser.list
zhangsan
redhat
lisi
redhat</pre>
</div>
 
但是，明文信息既不安全，也不符合让vsftpd服务程序直接加载的格式，因此需要使用db_load命令用哈希（hash）算法将原始的明文信息文件转换成数据库文件，并且降低数据库文件的权限（避免其他人看到数据库文件的内容），然后再把原始的明文信息文件删除。
<div class="cnblogs_code">
<pre># db_load -T -t hash -f vuser.list vuser.db
# file vuser.db
vuser.db: Berkeley DB (Hash, version 9, native byte-order)
# chmod 600 vuser.db
# rm -f vuser.list</pre>
</div>
第2步：创建vsftpd服务程序用于存储文件的根目录(/var/ftproot)以及虚拟用户映射的系统本地用户(virtual)。FTP服务用于存储文件的根目录指的是，当虚拟用户登录后所访问的默认位置。
由于Linux系统中的每一个文件都有所有者、所属组属性，例如使用虚拟账户“张三”新建了一个文件，但是系统中找不到账户“张三”，就会导致这个文件的权限出现错误。为此，需要再创建一个可以映射到虚拟用户的系统本地用户。简单来说，就是让虚拟用户默认登录到与之有映射关系的这个系统本地用户的家目录中，虚拟用户创建的文件的属性也都归属于这个系统本地用户，从而避免Linux系统无法处理虚拟用户所创建文件的属性权限。
为了方便管理FTP服务器上的数据，可以把这个系统本地用户的家目录设置为/var目录（该目录用来存放经常发生改变的数据）。并且为了安全起见，我们将这个系统本地用户设置为不允许登录FTP服务器，这不会影响虚拟用户登录，而且还可以避免黑客通过这个系统本地用户进行登录。
<div class="cnblogs_code">
<pre># useradd -d /var/ftproot -s /sbin/nologin virtual
# ls -ld /var/ftproot/
drwx------. 3 virtual virtual 74 Jul 14 17:50 /var/ftproot/
# chmod -Rf 755 /var/ftproot/</pre>
</div>
第3步：建立用于支持虚拟用户的PAM文件。
PAM（可插拔认证模块）是一种认证机制，通过一些动态链接库和统一的API把系统提供的服务与认证方式分开，使得系统管理员可以根据需求灵活调整服务程序的不同认证方式。要想把PAM功能和作用完全讲透，至少要一个章节的篇幅才可以（对该主题感兴趣的读者敬请关注本书的进阶篇，里面会详细讲解PAM）。
通俗来讲，PAM是一组安全机制的模块，系统管理员可以用来轻易地调整服务程序的认证方式，而不必对应用程序进行任何修改。PAM采取了分层设计（应用程序层、应用接口层、鉴别模块层）的思想，其结构如图11-2所示。
<img alt="" data-src="https://img2018.cnblogs.com/blog/1682975/201905/1682975-20190511162633896-1039498008.png">
新建一个用于虚拟用户认证的PAM文件vsftpd.vu，其中PAM文件内的“db=”参数为使用db_load命令生成的账户密码数据库文件的路径，但不用写数据库文件的后缀：
<div class="cnblogs_code">
<pre># vim /etc/pam.d/vsftpd.vu
auth required pam_userdb.so db=/etc/vsftpd/vuser
account required pam_userdb.so db=/etc/vsftpd/vuser</pre>
</div>
第4步：在vsftpd服务程序的主配置文件中通过pam_service_name参数将PAM认证文件的名称修改为vsftpd.vu，PAM作为应用程序层与鉴别模块层的连接纽带，可以让应用程序根据需求灵活地在自身插入所需的鉴别功能模块。当应用程序需要PAM认证时，则需要在应用程序中定义负责认证的PAM配置文件，实现所需的认证功能。
例如，在vsftpd服务程序的主配置文件中默认就带有参数pam_service_name=vsftpd，表示登录FTP服务器时是根据/etc/pam.d/vsftpd文件进行安全认证的。现在我们要做的就是把vsftpd主配置文件中原有的PAM认证文件vsftpd修改为新建的vsftpd.vu文件即可。该操作中用到的参数以及作用如表11-4所示。
表11-4                            利用PAM文件进行认证时使用的参数以及作用
<div class="cnblogs_code">
<pre>参数作用
anonymous_enable=NO 禁止匿名开放模式
local_enable=YES 允许本地用户模式
guest_enable=YES 开启虚拟用户模式
guest_username=virtual 指定虚拟用户账户
pam_service_name=vsftpd.vu 指定PAM文件
allow_writeable_chroot=YES 允许对禁锢的FTP根目录执行写入操作，而且不拒绝用户的登录请求</pre>
</div>
<div class="cnblogs_code">
<pre># vim /etc/vsftpd/vsftpd.conf
1 anonymous_enable=NO
2 local_enable=YES
3 guest_enable=YES
4 guest_username=virtual
5 allow_writeable_chroot=YES
6 write_enable=YES
7 local_umask=022
8 dirmessage_enable=YES
9 xferlog_enable=YES
10 connect_from_port_20=YES
11 xferlog_std_format=YES
12 listen=NO
13 listen_ipv6=YES
14 pam_service_name=vsftpd.vu
15 userlist_enable=YES
16 tcp_wrappers=YES</pre>
</div>
第5步：为虚拟用户设置不同的权限。虽然账户zhangsan和lisi都是用于vsftpd服务程序认证的虚拟账户，但是我们依然想对这两人进行区别对待。比如，允许张三上传、创建、修改、查看、删除文件，只允许李四查看文件。这可以通过vsftpd服务程序来实现。只需新建一个目录，在里面分别创建两个以zhangsan和lisi命名的文件，其中在名为zhangsan的文件中写入允许的相关权限（使用匿名用户的参数）：
<div class="cnblogs_code">
<pre># mkdir /etc/vsftpd/vusers_dir/
# cd /etc/vsftpd/vusers_dir/
# touch lisi
# vim zhangsan
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_other_write_enable=YES</pre>
</div>
然后再次修改vsftpd主配置文件，通过添加user_config_dir参数来定义这两个虚拟用户不同权限的配置文件所存放的路径。为了让修改后的参数立即生效，需要重启vsftpd服务程序并将该服务添加到开机启动项中：
<div class="cnblogs_code">
<pre># vim /etc/vsftpd/vsftpd.conf
anonymous_enable=NO
local_enable=YES
guest_enable=YES
guest_username=virtual
allow_writeable_chroot=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=NO
listen_ipv6=YES
pam_service_name=vsftpd.vu
userlist_enable=YES
tcp_wrappers=YES
user_config_dir=/etc/vsftpd/vusers_dir
# systemctl restart vsftpd
# systemctl enable vsftpd
ln -s '/usr/lib/systemd/system/vsftpd.service' '/etc/systemd/system/multi-user.target.wants/vsftpd.service</pre>
</div>
第6步：设置SELinux域允许策略，然后使用虚拟用户模式登录FTP服务器。相信大家可以猜到，SELinux会继续来捣乱。所以，先按照前面实验中的步骤开启SELinux域的允许策略，以免再次出现操作失败的情况：
<div class="cnblogs_code">
<pre># getsebool -a | grep ftp
ftp_home_dir –> off
ftpd_anon_write –> off
ftpd_connect_all_unreserved –> off
ftpd_connect_db –> off
ftpd_full_access –> off
ftpd_use_cifs –> off
ftpd_use_fusefs –> off
ftpd_use_nfs –> off
ftpd_use_passive_mode –> off
httpd_can_connect_ftp –> off
httpd_enable_ftp_server –> off
sftpd_anon_write –> off
sftpd_enable_homedirs –> off
sftpd_full_access –> off
sftpd_write_ssh_home –> off
tftp_anon_write –> off
tftp_home_dir –> off
# setsebool -P ftpd_full_access=on</pre>
</div>
此时，不但可以使用虚拟用户模式成功登录到FTP服务器，还可以分别使用账户zhangsan和lisi来检验他们的权限。
<div class="cnblogs_code">
<pre># ftp 192.168.10.10
Connected to 192.168.10.10 (192.168.10.10).
220 (vsFTPd 3.0.2)
Name (192.168.10.10:root): lisi
331 Please specify the password.
Password:此处输入虚拟用户的密码
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> mkdir files
550 Permission denied.
ftp> exit
221 Goodbye.
# ftp 192.168.10.10
Connected to 192.168.10.10 (192.168.10.10).
220 (vsFTPd 3.0.2)
Name (192.168.10.10:root): zhangsan
331 Please specify the password.
Password:此处输入虚拟用户的密码
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> mkdir files
257 "/files" created
ftp> rename files database
350 Ready for RNTO.
250 Rename successful.
ftp> rmdir database
250 Remove directory operation successful.
ftp> bye
221 Goodbye.</pre>
</div>
 
</div>
</div> 
来源：https://www.cnblogs.com/guohongwei/p/10848698.html

頁: [1]

琼殿技术论坛's Archiver

linux环境：FTP服务器搭建