vsftpd 操作手册 - 完整版
vsftpd
# 目录
- ftp 简介
- vsftpd 简介
- vsftpd 安装&卸载
- vsftpd 配置文件
- vsftpd 认证模板
- vsftpd 配置模板
# 目录详解
- ftp 简介: 简单介绍 ftp 协议;
- vsftpd 简介: 介绍 vsftpd & 为什么使用vsftpd;
- vsftpd 安装&卸载: vsftpd安装&卸载;
- vsftpd 配置文件: 主要介绍与 vsftpd 相关的配置文件信息;
- vsftpd 认证模板: 在服务器上如何配置&使用 vsftpd 服务 (若想直接使用,则直接看该部分);
- vsftpd 配置模板: 常使用的 vsftpd.conf 配置模板, 可快速配置 vsftpd.conf ;
ftp 简介
一般来讲，人们将计算机联网的首要目的就是获取资料，而文件传输是一种非常重要的获取资料的方式。
FTP是一种在互联网中进行文件传输的协议，基于客户端/服务器模式，默认使用20、21号端口，其中端口20用于进行数据传输，端口21用于接受客户端发出的相关FTP命令与参数。
FTP服务器普遍部署于内网中，具有容易搭建、方便管理的特点，有些FTP客户端工具还可以支持文件的多点下载以及断点续传技术。
FTP服务器是按照FTP协议在互联网上提供文件存储和访问服务的主机，FTP客户端则是向服务器发送连接请求，以建立数据传输链路的主机。FTP协议有下面两种工作模式：
主动模式：FTP服务器主动向客户端发起连接请求；
被动模式：FTP服务器等待客户端发起连接请求（默认工作模式）；
由于FTP、HTTP、Telnet等协议的数据都是使用明文进行传输的，因此从设计上就是不可靠的。
为了满足以密文方式传输文件的需求，发明了vsftpd服务程序。
vsftpd（very secure ftp daemon，非常安全的FTP守护进程）是一款运行在Linux操作系统上的FTP服务程序，不仅完全开源而且免费。此外，它还具有很高的安全性、传输速度，以及支持虚拟用户验证等其他FTP服务程序不具备的特点。在不影响使用的前提下，管理者可以自行决定客户端是采用匿名开放、本地用户还是虚拟用户的验证方式来登录vsftpd服务器。这样即便黑客拿到了虚拟用户的账号密码，也不见得能成功登录vsftpd服务器。
vsftpd 简介
vsftpd 的全称是 Very Secure FTP Daemon 的意思；换句话说，vsftpd 最初发展的理念就是在建构一个以安全为重的 FTP 服务器。
vsftpd 是为了建构一个安全为主的 FTP 服务器， vsftpd 针对操作系统的 程序的权限 (privilege) 概念来设计；
vsftpd 也支持 chroot 功能，chroot 顾名思义就是 change root directory 的意思，root 指的是根目录而非系统管理员；chroot可以将用户的某个特定的目录变成根目录（家目录），所以与该目录没有关系的其他目录就不会被访问了；
vsftpd 这个服务的启动者身份为一般用户，所以对于 Linux 系统的权限较低，对于 Linux 系统的危害就相对的减低了；
绝大部分 ftp 会使用到的额外指令功能 (dir, ls, cd ...) 都已经被整合到 vsftpd 主程序当中了，因此理论上 vsftpd 不需要使用到额外的系统提供的指令，所以在 chroot 的情况下，vsftpd 不但可以顺利运作，且不需要额外功能对于系统来说也比较安全；
vsftpd作为更加安全的文件传输协议服务程序，允许用户以3种认证模式登录FTP服务器。
匿名开放模式：是最不安全的一种认证模式，任何人都可以无须密码验证而直接登录到FTP服务器。本地用户模式：是通过Linux系统本地的账户密码信息进行认证的模式，相较于匿名开放模式更安全，而且配置起来也很简单。但是如果黑客破解了账户的信息，就可以畅通无阻地登录FTP服务器，从而完全控制整台服务器。虚拟用户模式：更安全的一种认证模式，它需要为FTP服务单独建立用户数据库文件，虚拟出用来进行密码验证的账户信息，而这些账户信息在服务器系统中实际上是不存在的，仅供FTP服务程序进行认证使用。这样，即使黑客破解了账户信息也无法登录服务器，从而有效降低了破坏范围和影响。
vsftpd 安装&卸载
- 查看vsftpd
# 查看 vsftpd 是否已经安装
$ rpm -qa|grep vsftpd
- vsftpd 安装
# 通过 yum 安装 vsftpd
$ yum install vsftpd -y
- vsftpd 卸载
# 查看 vsftpd 信息
$ rpm -qa|grep vsftpd
vsftpd-3.0.2-29.el7_9.x86_64
# 通过 rpm -e 卸载 vsftpd
$ rpm -e vsftpd-3.0.2-29.el7_9.x86_64
# 出现以下消息 则手动删除 vsftpd 配置信息
warning: /etc/vsftpd/vsftpd.conf saved as /etc/vsftpd/vsftpd.conf.rpmsave
warning: /etc/vsftpd/user_list saved as /etc/vsftpd/user_list.rpmsave
warning: /etc/vsftpd/ftpusers saved as /etc/vsftpd/ftpusers.rpmsave
# 删除 vsftpd 配置文件
$ rm -rf /etc/vsftpd
vsftpd 配置文件
vsftpd 文件说明
# vsftpd 配置文件
- /etc/vsftpd/vsftpd.conf
- /etc/pam.d/vsftpd
- /etc/vsftpd/ftpusers
- /etc/vsftpd/user_list
- /etc/vsftpd/chroot_list
- /usr/sbin/vsftpd
- /var/ftp/
# vsftpd 文件作用说明
- vsftpd.conf: 核心配置文件, 由此文件衍生出其它配置文件;
- pam.d/vsftpd: 是 vsftpd 使用 PAM 模块时的相关配置文件;
- ftpusers: 是 PAM 模块 (/etc/pam.d/vsftpd) 所指定的那个无法登入的用户配置文件;
- user_list: 是 vsftpd 自定义的抵挡项目;
- chroot_list: 主要功能是可以将某些账号的使用者 chroot 在制定目录下;
- /sbin/vsftpd: vsftpd 的主要执行档;
- /var/ftp/: vsftpd 的预设匿名者登入的根目录;
- ftpusers&user_list区别
# ftpusers 简介
- ftpusers 不受任何配制项的影响,它总是有效,它是一个黑名单;
- ftpusers 列表中的用户不能访问FTP;
- ftpusers 是vsftpd服务在启动后已经决定的; ftpusers 文件只要存在, 则这个列表里面用户都不能访问FTP; 在 vsftpd.conf 配置中没有参数配置可以控制该文件存放；
- ftpusers: 是一个禁止访问FTP的用户列表;
- ftpusers: 通过限制账号(root、高权限账户)登录FTP, 防止登录账号权限过大, 不受限制下载重要文件;
# user_list 简介
- user_list是 `vsftpd.conf` 配置文件中的 userlist_enable 和 userlist_deny 两个配置相关;
- user_list文件可作为白名单文件使用, 也可作为黑名单文件使用; 具体使 `user_list` 作为白名单还是黑名单 可通过`vsftpd.conf` 配置文件中的 userlist_enable 和 userlist_deny 设置;
- 将 `vsftpd.conf` 配置文件中参数 userlist_deny 设置为 userlist_deny=NO , 那么user_list列表就变成了强制白名单;则只允许user_list文件列表内的用户访问, 拒绝其他人的访问;
- 当且仅当 `userlist_enable=YES` 时, userlist_deny配置项才有效, user_list文件才会被使用;
# 两者联系&区别
- user_list文件用户列表与ftpusers文件中用户列表中内容相同;
- ftpusers和user_list没有任何关系; ftpusers文件总是生效,user_list文件是否生效取决于 vsftpd.conf 文件中userlist_enable 和 userlist_deny 选项;
- userlist_enable&userlist_deny配置
| userlist_enable | userlist_deny | 作用 |
|---|---|---|
| NO | YES|NO | user_list文件不生效；userlist_deny项为何值都是无效； 本地全体用户 ( 除去ftpusers中的用户 ) 都可以登入FTP； |
| YES | YES | user_list作为黑名单使用；user_list文件中的用户都被拒绝登录FTP； |
| YES | NO | user_list作为白名单使用；只有user_list文件中的用户都被允许登录FTP； |
结论：
- 当 userlist_enable=NO 时 user_list列表不生效，列表内和列表外的用户都可登录；
- 当 userlist_enable=YES，userlist_deny=YES 时user_list列表内的用户不可以登录，列表外用户可登录；
- 当 userlist_enable=YES , userlist_deny=NO 时user_list 只允许列表以外的用户登录，并且必需是以命令行的方式；
vsftpd.conf 参数
/etc/vsftpd/vsftpd.conf 本身就是一个挺详细的配置文件，且使用『 man 5 vsftpd.conf 』则可以得到完整的参数说明；这里依旧先对 vsftpd.conf 内的常用参数作说明。
- 与服务器环境较相关的设定值
| 参数设定值 | 默认值 | 作用 |
|---|---|---|
| connect_from_port_20=YES|NO | YES | 指定FTP使用20端口进行数据传输 |
| listen_port=21 | 21 | 设置FTP服务器建立连接所监听的端口 |
| dirmessage_enable=YES|NO | YES | 如果启动选项，第一次进入目录时，若有.message这个档案，则会出现此档案的内容，通常这个档案会放置欢迎话语，或是对该目录的说明； |
| message_file=.message | .message | 设置目录消息文件，可将要显示的信息写入该文件。默认值为.message |
| listen=YES|NO | YES | 设置vsftpd服务器是否以standalone模式运行 |
| pasv_enable=YES|NO | YES | 是否使用PASV工作模式（被动莫模式） |
| use_localtime=YES|NO | NO | vsftpd使用本机时间作为vsftpd时间； 默认为显示格林威治时间（GMT）； |
| write_enable=YES|NO | YES | 允许登陆用户有写权限；属于全局设置，默认值为YES。 |
| connect_timeout=60 | 60 | PORT 方式下建立数据连接的超时时间，单位为秒 |
| accept_timeout=60 | 60 | 建立FTP连接的超时时间，单位为秒 |
| data_connection_timeout=120 | 300 | 建立FTP数据连接的超时时间，单位为秒 |
| idle_session_timeout=300 | 300 | 多长时间不对FTP服务器进行任何操作，则断开该FTP连接，单位为秒 |
| max_clients=0 | 0 | vsftpd允许的最大连接数，默认值为0，表示不受限制 |
| max_per_ip=0 | 0 | 设置每个IP允许与FTP服务器同时建立连接的数目，默认值为0，表示不受限制 |
| pasv_min_port=0, pasv_max_port=0 | pasv_min_port:0 pasv_max_port:0 |
在PASV工作模式下，数据连接可以使用的端口范围的最小端口，0 表示任意端口； 在PASV工作模式下，数据连接可以使用的端口范围的最大端口，0 表示任意端口； |
| ftpd_banner=文字说明 | NULL | 用来定义欢迎话语的字符串，而ftpd_banner 则是字符串的形式 |
| banner_file=/path/file | NULL | 用来定义欢迎话语的字符串，banner_file是档案的形式 |
- 与实体用户较相关的设定值
| 参数设定值 | 默认值 | 作用 |
|---|---|---|
| guest_enable=YES|NO | NO | 启用虚拟用户 |
| guest_username=ftp | ftp | 用来映射虚拟用户 |
| local_enable=YES|NO | YES | 控制是否允许本地用户登入，YES 为允许本地用户登入，NO为不允许 |
| local_max_rate=0 | 0 | 本地用户使用的最大传输速度，单位为B/s，0 表示不限制速度 |
| chroot_local_user=YES|NO | NO | 用于指定用户列表文件中的用户是否允许切换到上级目录 |
| chroot_list_enable=YES|NO | NO | 设置是否启用chroot_list_file配置项指定的用户列表文件 |
| chroot_list_file=/etc/vsftpd.chroot_list | 用于指定用户列表文件, 该文件用于控制用户可以切换到用户家目录的上级目录 | |
| userlist_enable=YES|NO | NO | 是否启用vsftpd.user_list文件 |
| userlist_deny=YES|NO | YES | 决定vsftpd.user_list文件中的用户是否能够访问FTP服务器； 设置为YES，则vsftpd.user_list文件中的用户不允许访问FTP； 若设置为NO，则只有vsftpd.user_list文件中的用户才能访问FTP； |
| userlist_file=/etc/vsftpd/user_list | NO | 控制用户访问FTP的文件，里面写着用户名称。一个用户名称一行 |
- 与匿名用户登录相关的设定值
| 参数设定值 | 默认值 | 作用 |
|---|---|---|
| anonymous_enable=YES|NO | YES | 控制是否允许匿名用户登入，YES 为允许匿名登入，NO 为不允许 |
| anon_world_readable_only=YES|NO | YES | 如果设为YES，则允许匿名登入者下载可阅读的文件 |
| anon_other_write_enable=YES|NO | NO | 允许匿名登入者拥有上传或者建立目录之外的权限；如，删除或者重命名； anon_upload_enable=NO，则匿名用户不能上传文件，但可删除或重命名已经存在的文件； anon_mkdir_write_enable=NO，则匿名用户不能上传或者新建文件夹，但可以删除或者重命名已经存在的文件夹； |
| anon_mkdir_write_enable=YES|NO | NO | 允许匿名登入者有新增目录的权限，只有在write_enable=YES时，此项才有效； 匿名用户必须要有对上层目录的写入权； |
| anon_upload_enable=YES|NO | NO | 允许匿名登入者有上传文件（非目录）的权限，只有在write_enable=YES时，此项才有效； 匿名用户必须要有对上层目录的写入权； |
| deny_email_enable=YES|NO | NO | 启动这项功能，则必须提供一个档案/etc/vsftpd/banner_emails，内容为email address； 若是使用匿名登入，则会要求输入email address； 若输入的email address 在此档案内，则不允许进入； |
| banned_email_file=/etc/vsftpd/banned_emails | /etc/vsftpd.banned_emails | 用来输入email address，只有在deny_email_enable=YES时，才会使用到此文件； 若是使用匿名登入，则会要求输入email address，若输入的email address 在此档案内，则不允许进入； |
| no_anon_password=YES|NO | NO | 启动这项功能，则使用匿名登入时，不会询问密码 |
| anon_max_rate=0 | 0 | 设置匿名登入者使用的最大传输速度，单位为B/s，0 表示不限制速度 |
| anon_umask=077 | 077 | 设置匿名登入者新增或上传档案时的umask 值 |
- 与 vsftpd 系统安全相关的设定值
| 参数设定值 | 默认值 | 作用 |
|---|---|---|
| ascii_download_enable=YES|NO | NO | 设置是否启用ASCII 模式下载数据 |
| ascii_upload_enable=YES|NO | NO | 设置是否启用ASCII 模式上传数据 |
| one_process_model=YES|NO | YES | |
| tcp_wrappers=YES|NO | YES | 设置vsftpd是否与tcp wrapper相结合来进行主机的访问控制； 启用，则vsftpd会检查 /etc/hosts.allow 和/etc/hosts.deny 中的配置，来决定请求连接的主机，是否允许访问该FTP服务器； |
| xferlog_enable=YES|NO | YES | 是否启用上传/下载日志记录； 启用，则上传与下载的信息将被完整纪录在xferlog_file 所定义的文件中； |
| xferlog_file=/var/log/xferlog | /var/log/vsftpd.log | 设置日志文件名和路径 |
| xferlog_std_format=YES|NO | NO | 启用，则日志文件将会写成xferlog的标准格式，如同wu-ftpd 一般 |
| dual_log_enable=YES|NO, vsftpd_log_file=/var/log/vsftpd.log | /var/log/vsftpd.log | 编写vsftpd样式日志文件的文件的名称； 仅当 设置了选项xferlog_enable并且未设置xferlog_std_format时， 才会写入此日志； 或，如果已设置选项dual_log_enable，则会写入； 如果设置了 syslog_enable，则不会写入此文件，而是将输出发送到系统日志； |
| nopriv_user=nobody | vsftpd在完全没有特权的情况下使用的用户名； 这应该是专用用户，而不是任何人 |
|
| pam_service_name=vsftpd | /etc/pam.d/vsftpd | 设置PAM使用的名称 |
上面这些是常见的 vsftpd 的设定参数，还有很多参数没有列出来，可以使用 man 5 vsftpd.conf 查阅。
vsftpd 认证模式
vsftpd作为更加安全的文件传输协议服务程序，允许用户以3种认证模式登录FTP服务器。
匿名开放模式：是最不安全的一种认证模式，任何人都可以无须密码验证而直接登录到FTP服务器。
本地用户模式：是通过Linux系统本地的账户密码信息进行认证的模式，相较于匿名开放模式更安全，而且配置起来也很简单。但是如果黑客破解了账户的信息，就可以畅通无阻地登录FTP服务器，从而完全控制整台服务器。
虚拟用户模式：更安全的一种认证模式，它需要为FTP服务单独建立用户数据库文件，虚拟出用来进行密码验证的账户信息，而这些账户信息在服务器系统中实际上是不存在的，仅供FTP服务程序进行认证使用。这样，即使黑客破解了账户信息也无法登录服务器，从而有效降低了破坏范围和影响。
匿名开放、本地用户、虚拟用户模式，具体使用哪一种模式直接到以下对应的过程部分配置即可；
| 文件路径 | 作用 |
|---|---|
| /etc/vsftpd/vsftpd.conf | vsftpd的核心配置文件； |
| /etc/vsftpd/ftpusers | 黑名单文件，此文件中的用户不允许访问FTP服务器； |
| /etc/vsftpd/user_list | 是黑、白名单文件，具体作为黑名单文件还是白名单文件由 vsftpd.conf 中 userlist_enable、serlist_deny 两个参数决定。 |
匿名开放模式
vsftpd服务程序默认关闭了匿名开放模式，匿名开放模式常用的权限参数以及作用如下所示：
| 参数设定值 | 作用 |
|---|---|
| anonymous_enable=YES | 允许匿名访问模式 |
| anon_umask=022 | 匿名用户上传文件的umask值 |
| anon_upload_enable=YES | 允许匿名用户上传文件 |
| anon_mkdir_write_enable=YES | 允许匿名用户创建目录 |
| anon_other_write_enable=YES | 允许匿名用户修改目录名称或删除目录 |
| anon_world_readable_only=YES | 文件的其他人必须有读的权限才允许下载 |
| anon_root=/var/ftp | 匿名用户的FTP根目录 |
| anon_max_rate=0 | 匿名用户的最大传输速率（字节/秒），0为不限制 |
- 备份
vsftp.conf文件
$ mv /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf_bak
$ grep -v "#" /etc/vsftpd/vsftpd.conf_bak > /etc/vsftpd/vsftpd.conf
$ cat /etc/vsftpd/vsftpd.conf
- 配置
vsftpd.conf文件
$ vi vsftpd.conf
# 与匿名者有关的信息
## 支持匿名者的登入使用 FTP 功能
anonymous_enable=YES
# 与实体用户有关的设定
## 支持本地端的实体用户登入
local_enable=YES
## 允许用户上传数据 (包括文件与目录)
write_enable=YES
## 建立新目录 (755) 与文件 (644) 的权限
local_umask=022
# 与服务器环境有关的设定
## 若目录下有 .message 则会显示该文件的内容
dirmessage_enable=YES
## 启动登录文件记录，记录于 /var/log/xferlog
xferlog_enable=YES
## 支持主动式联机功能
connect_from_port_20=YES
## 支持 WuFTP 的登录档格式
xferlog_std_format=YES
## 使用 stand alone 方式启动 vsftpd
listen=YES
## 支持 PAM 模块的管理
pam_service_name=vsftpd
## 支持 /etc/vsftpd/user_list 档案内的账号登入管控
userlist_enable=YES
## 支持 TCP Wrappers 的防火墙机制
tcp_wrappers=YES
通过以上各项配置，该 vsftpd 可以达到的功能如下：
- 可以使用 anonymous 这个匿名账号或其他实体账号 (/etc/passwd) 登入；
- anonymous 的家目录在 /var/ftp ，且无上传权限，亦已经被 chroot 了；
- 实体用户的家目录参考 /etc/passwd，并没有被 chroot，可前往任何有权限可进入的目录中；
- 任何于 /etc/vsftpd/ftpusers 内存在的账号均无法使用 vsftpd (PAM)；
- 可利用 /etc/hosts.{allow|deny} 来作为基础防火墙；
- 当客户端有任何上传/下载信息时，该信息会被纪录到 /var/log/xferlog 中；
- 主动式联机的埠口为 port 20；
- 使用格林威治时间 (GMT)。
本地用户模式
Linux系统本地的账户密码信息进行认证的模式，相较于匿名开放模式更安全，而且配置起来也很简单；本地用户模式常用的权限参数以及作用如下所示：
| 参数设定值 | 作用 |
|---|---|
| local_enable=YES | 允许本地用户登录FTP |
| local_umask=022 | 本地用户上传文件的umask值 |
| local_root=/var/ftp | 本地用户的FTP根目录 |
| local_max_rate=0 | 本地用户最大传输速率（字节/秒），0为不限制 |
| write_enable=YES | 设置可写权限 |
| chroot_local_user=YES | 将用户权限禁锢在FTP目录，以确保安全 |
| userlist_deny=YES | 启用“禁止用户名单”，名单文件为ftpusers和user_list |
| userlist_enable=YES | 开启作用名单user_list文件功能 |
- 备份vsftp配置文件
$ mv /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf_bak
$ grep -v "#" /etc/vsftpd/vsftpd.conf_bak > /etc/vsftpd/vsftpd.conf
$ cat /etc/vsftpd/vsftpd.conf
- 设置SELinux域允许策略
$ getsebool -a | grep ftp
ftpd_anon_write --> off
ftpd_connect_all_unreserved --> off
ftpd_connect_db --> off
ftpd_full_access --> off
ftpd_use_cifs --> off
ftpd_use_fusefs --> off
ftpd_use_nfs --> off
ftpd_use_passive_mode --> off
httpd_can_connect_ftp --> off
httpd_enable_ftp_server --> off
tftp_anon_write --> off
tftp_home_dir --> off
# 使vsftpd 具有访问ftp根目录,以及文件传输等权限
$ setsebool -P ftpd_full_access=on
- 创建
banner.txt文件&配置vsftpd.conf文件
$ touch banner.txt
$ vi vsftpd.conf
# 与匿名者有关的信息
## 取消匿名者的登入功能
anonymous_enable=NO
# 与实体用户有关的设定
## 支持本地端的实体用户登入
local_enable=YES
## 允许用户上传数据 (包括文件与目录)
write_enable=YES
## 建立新目录 (755) 与文件 (644) 的权限
local_umask=022
userlist_enable=YES
userlist_deny=YES
## 该文件必须存在 vsftpd 默认就存在该文件
userlist_file=/etc/vsftpd/user_list
# 与服务器环境有关的设定
## 使用服务器本地时间
use_localtime=YES
## 若目录下有 .message 则会显示该文件的内容
dirmessage_enable=YES
## 启动登录文件记录，记录于 /var/log/xferlog
xferlog_enable=YES
## 支持主动式联机功能
connect_from_port_20=YES
## 支持 WuFTP 的登录档格式
xferlog_std_format=YES
## 使用 stand alone 方式启动 vsftpd
listen=YES
## 支持 PAM 模块的管理
pam_service_name=vsftpd
## 支持 TCP Wrappers 的防火墙机制
tcp_wrappers=YES
## ftp登录界面的 banner 标识 该文件需存在,否则会出错
banner_file=/etc/vsftpd/banner.txt
通过以上各项配置，该 vsftpd 可以达到的功能如下：
- 希望使用本地时间取代 GMT 时间；
- 用户登入时显示一些欢迎讯息的信息；
- 系统账号不可登入主机 (亦即 UID 小于 500 以下的账号)；
- 一般实体用户可以进行上传、下载、建立目录及修改档案等动作；
- 用户新增的档案、目录之 umask 希望设定为 002；
- 存在 user_list 和 ftpusers 文件中的用户
不可登录FTP；- 其他主机设定值保留默认值即可。
- 在以上基础再建立限制系统账号登入
针对系统账号来给予阻拦的机制，其实有两个文件；一个是 PAM 模块，另一个是 vsftpd 主动提供的， 在预设的情况下这两个文件分别是：
- /etc/vsftpd/ftpusers: 是 /etc/pam.d/vsftpd 这个文件的参数设置所影响；
- /etc/vsftpd/user_list: 由 vsftpd.conf 的 userlist_file 所设置；
$ vi /etc/vsftpd/user_list
root
......
$ ftp 192.168.188.68
Trying 192.168.188.68...
Connected to localhost (192.168.188.68).
hosystem FTP-banner test;
220
Name (localhost:root): student
331 Please specify the password.
Password: <==输入密码啰在这里！
500 OOPS: cannot change directory:/home/student # 出现该错误到问题汇总中寻找答案
Login failed.
ftp> bye
221 Goodbye.
虚拟用户模式
虚拟用户模式是这3种模式中最安全的一种认证模式，是专门创建出一个账号来登录FTP传输服务的，而且这个账号不能用于以SSH方式登录服务器；
| 参数设定值 | 作用 |
|---|---|
| anonymous_enable=NO | 禁止匿名开放模式 |
| local_enable=YES | 允许本地用户模式 |
| guest_enable=YES | 开启虚拟用户模式 |
| guest_username=virtual | 指定虚拟用户账户 |
| pam_service_name=vsftpd.vu | 指定PAM文件 |
| allow_writeable_chroot=YES | 允许对禁锢的FTP根目录执行写入操作，而且不拒绝用户的登录请求 |
- 备份vsftp配置文件
$ mv /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf_bak
$ grep -v "#" /etc/vsftpd/vsftpd.conf_bak > /etc/vsftpd/vsftpd.conf
$ cat /etc/vsftpd/vsftpd.conf
- 创建用于进行FTP认证的用户数据库文件
# 创建用于进行FTP认证的用户数据库文件
# 奇数行为账户名, 偶数行为密码
# 该用户不需要
$ vi /etc/vsftpd/vuser.list
ftpuser
ftpuser123.
test
test
- 原始的明文信息文件转换成数据库文件
由于明文信息既不安全，也不符合让vsftpd服务程序直接加载的格式，因此需要使用db_load命令用哈希（hash）算法将原始的明文信息文件转换成数据库文件，并且降低数据库文件的权限（避免其他人看到数据库文件的内容），然后再把原始的明文信息文件删除。
# 明文转密文
$ db_load -T -t hash -f /etc/vsftpd/vuser.list /etc/vsftpd/vuser.db
# 赋予密文文件权限
$ chmod 600 vuser.db
# 删除明文文件 不强制要求,但推荐删除
$ rm -rf vuser.list
- 创建vsftpd服务程序用于存储文件的根目录以及用于虚拟用户映射的系统本地用户
vsftpd服务用于存储文件的根目录指的是，当虚拟用户登录后所访问的默认位置；
由于Linux系统中的每一个文件都有所有者、所属组属性，例如使用虚拟账户“张三”新建了一个文件，但是系统中找不到账户“张三”，就会导致这个文件的权限出现错误；为此，让虚拟用户默认登录到与之有映射关系的这个系统本地用户的家目录中；
虚拟用户创建的文件的属性也都归属于这个系统本地用户，从而避免Linux系统无法处理虚拟用户所创建文件的属性权限
创建vsftpd服务程序用于存储文件的根目录以及用于虚拟用户映射的系统本地用户；
把这个系统本地用户的家目录设置为/var目录（该目录用来存放经常发生改变的数据）；并且为了安全起见，将这个系统本地用户设置为不允许登录FTP服务器，这不会影响虚拟用户登录，而且还能够避免黑客通过这个系统本地用户进行登录；
# -s /sbin/nologin: 表示virtual禁止通过ssh登录
$ useradd -d /var/ftproot -s /sbin/nologin virtual
$ ls -ld /var/ftproot/
$ chmod -Rf 755 /var/ftproot/
- 建立用于支持虚拟用户的PAM文件
新建一个用于虚拟用户认证的PAM文件vsftpd.vu，其中PAM文件内的“db=”参数为使用db_load命令生成的账户密码数据库文件的路径，但不用写数据库文件的后缀。
$ vi /etc/pam.d/vsftpd.vu
auth required pam_userdb.so db=/etc/vsftpd/vuser
account required pam_userdb.so db=/etc/vsftpd/vuser
- 在vsftpd服务程序的主配置文件中通过pam_service_name参数将PAM认证文件的名称修改为vsftpd.vu
配置文件
vsftpd.conf中默认就带有参数pam_service_name=vsftpd，表示登录FTP服务器时是根据/etc/pam.d/vsftpd文件进行安全认证的；
$ vi /etc/vsftpd/vsftpd.conf
# 重要!!!!!!
## 禁止匿名开放模式
anonymous_enable=NO
## 允许本地用户模式
local_enable=YES
## 设置可写权限
write_enable=YES
## 开启虚拟用户模式
guest_enable=YES
## 指定虚拟用户账户
guest_username=virtual
## 允许对禁锢的FTP根目录执行写入操作，而且不拒绝用户的登录请求
allow_writeable_chroot=YES
## 指定PAM文件
pam_service_name=vsftpd.vu
# 本地用户模式创建文件的umask值
local_umask=022
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=YES
listen_ipv6=NO
userlist_enable=YES
# user_config_dir参数来定义这两个虚拟用户不同权限的配置文件所存放的路径
user_config_dir=/etc/vsftpd/vusers_dir
- 为虚拟用户设置不同的权限
创建
ftpuser和test两个账户；
- ftpuser权限：上传、创建、修改、查看、删除文件；
- test权限：只允许查看文件；
# 创建 vusers_dir 目录
$ mkdir /etc/vsftpd/vusers_dir/
# 创建 ftpuser 用户
$ vi /etc/vsftpd/vusers_dir/ftpuser
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_other_write_enable=YES
# 创建 test 用户
$ touch /etc/vsftpd/vusers_dir/test
- 设置SELinux域允许策略，然后使用虚拟用户模式登录FTP服务器
$ getsebool -a | grep ftp
ftpd_anon_write --> off
ftpd_connect_all_unreserved --> off
ftpd_connect_db --> off
ftpd_full_access --> off
ftpd_use_cifs --> off
ftpd_use_fusefs --> off
ftpd_use_nfs --> off
ftpd_use_passive_mode --> off
httpd_can_connect_ftp --> off
httpd_enable_ftp_server --> off
tftp_anon_write --> off
tftp_home_dir --> off
# 使vsftpd 具有访问ftp根目录,以及文件传输等权限
$ setsebool -P ftpd_full_access=on
- 登录
$ ftp ip
连接到 192.168.188.68。
220 (vsFTPd 3.0.2)
200 Always in UTF8 mode.
用户(192.168.188.118:(none)): test
331 Please specify the password.
密码: test
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp>
vsftpd 配置模板
vsftpd 基础模板
该配置模板，可实现 vsftpd 以下功能：
- 可以使用 anonymous 这个匿名账号或其他实体账号 (/etc/passwd) 登入;
- anonymous 的家目录在 /var/ftp ，且无上传权限，亦已经被 chroot 了;
- 实体用户的家目录参考 /etc/passwd，并没有被 chroot，可前往任何有权限可进入的目录中;
- 任何于 /etc/vsftpd/ftpusers 内存在的账号均无法使用 vsftpd (PAM);
- 可利用 /etc/hosts.{allow|deny} 来作为基础防火墙;
- 当客户端有任何上传/下载信息时，该信息会被纪录到 /var/log/xferlog 中;
- 主动式联机的埠口为 port 20;
- 使用格林威治时间 (GMT)。
配置 vsftpd.conf 文件
# 与匿名者有关的信息
anonymous_enable=YES
# 与实体用户有关的设定
local_enable=YES
write_enable=YES
local_umask=022
# 与服务器环境有关的设定
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=YES
pam_service_name=vsftpd
userlist_enable=YES
tcp_wrappers=YES
vsftpd 实体限制模板
该配置模板，可实现 vsftpd 以下功能：
- 希望使用本地时间取代 GMT 时间；
- 用户登入时显示一些欢迎讯息的信息；
- 系统账号不可登入主机 (亦即 UID 小于 500 以下的账号)；
- 一般实体用户可以进行上传、下载、建立目录及修改档案等动作；
- 用户新增的档案、目录之 umask 希望设定为 002；
- 存在 user_list 和 ftpusers 文件中的用户 `不可登录` FTP；
- 其他主机设定值保留默认值即可。
配置 vsftpd.conf 文件
# 与匿名者有关的信息
## 取消匿名者的登入功能
anonymous_enable=NO
# 与实体用户有关的设定
## 支持本地端的实体用户登入
local_enable=YES
## 允许用户上传数据 (包括文件与目录)
write_enable=YES
## 建立新目录 (755) 与文件 (644) 的权限
local_umask=022
userlist_enable=YES
userlist_deny=YES
## 该文件必须存在 vsftpd 默认就存在该文件
userlist_file=/etc/vsftpd/user_list
# 与服务器环境有关的设定
## 使用服务器本地时间
use_localtime=YES
## 若目录下有 .message 则会显示该文件的内容
dirmessage_enable=YES
## 启动登录文件记录，记录于 /var/log/xferlog
xferlog_enable=YES
## 支持主动式联机功能
connect_from_port_20=YES
## 支持 WuFTP 的登录档格式
xferlog_std_format=YES
## 使用 stand alone 方式启动 vsftpd
listen=YES
## 支持 PAM 模块的管理
pam_service_name=vsftpd
## 支持 TCP Wrappers 的防火墙机制
tcp_wrappers=YES
vsftpd 仅匿名登录相关设定
该配置模板，可实现 vsftpd 以下功能：
- 使用本地的时间, 而非 GMT 时间;
- 提供欢迎讯息, 说明可提供下载的信息;
- 仅开放 anonymous 的登入, 且不需要输入密码;
- 文件传输的速限为 1 Mbytes/second;
- 数据连接的过程 (不是命令通道！) 只要超过 60 秒没有响应, 就强制 Client 断线！
- 只要 anonymous 超过十分钟没有动作, 就予以断线;
- 最大同时上线人数限制为 50 人, 且同一 IP 来源最大联机数量为 5 人;
- 预设的 FTP 匿名者的根目录所在: ftp 账号的家目录。
配置 vsftpd.conf 文件
# 与匿名者有关的信息
## 支持匿名者的登入使用 FTP 功能
anonymous_enable=YES
# 与实体用户有关的设定
## 支持本地端的实体用户登入
local_enable=YES
## 允许用户上传数据 (包括文件与目录)
write_enable=YES
## 建立新目录 (755) 与文件 (644) 的权限
local_umask=022
# 与服务器环境有关的设定
## 若目录下有 .message 则会显示该文件的内容
dirmessage_enable=YES
## 启动登录文件记录，记录于 /var/log/xferlog
xferlog_enable=YES
## 支持主动式联机功能
connect_from_port_20=YES
## 支持 WuFTP 的登录档格式
xferlog_std_format=YES
## 使用 stand alone 方式启动 vsftpd
listen=YES
## 支持 PAM 模块的管理
pam_service_name=vsftpd
## 支持 /etc/vsftpd/user_list 档案内的账号登入管控
userlist_enable=YES
## 支持 TCP Wrappers 的防火墙机制
tcp_wrappers=YES
问题汇总
问题一：
问题描述：
vsftpd搭建完成后，通过cmd可以连接；通过xftp软件连接就出现无法显示远程文件夹。
问题原因：
FTP协议有两种工作模式，一种是主动模式、另外一种是被动模式。搭建过程中，工作模式和xftp连接模式不一致导致。
问题解决：
- 方式一：
将配置改成相反模式;如，主动模式就改为被动模式;被动模式就改为主动模式
- 方式二：
再xftp属性中选项，将连接的方式勾选项去掉
问题二：
问题描述：
在 vsftpd.conf 配置完成后，通过 systemctl start vsftpd 启动 vsftpd 服务，出现以下错误信息：
Job for vsftpd.service failed because the control process exited with error code. See "systemctl status vsftpd.service" and "journalctl -xe" for details.
通过 systemctl status vsftpd 查看错误信息：
$ systemctl status vsftpd
● vsftpd.service - Vsftpd ftp daemon
Loaded: loaded (/usr/lib/systemd/system/vsftpd.service; disabled; vendor preset: disabled)
Active: failed (Result: exit-code) since Wed 2022-08-24 23:35:16 CST; 20s ago
Process: 21696 ExecStart=/usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf (code=exited, status=1/FAILURE)
Aug 24 23:35:13 node1.hos.cn systemd[1]: Starting Vsftpd ftp daemon...
Aug 24 23:35:16 node1.hos.cn systemd[1]: vsftpd.service: control process exited, code=exited status=1
Aug 24 23:35:16 node1.hos.cn systemd[1]: Failed to start Vsftpd ftp daemon.
Aug 24 23:35:16 node1.hos.cn systemd[1]: Unit vsftpd.service entered failed state.
Aug 24 23:35:16 node1.hos.cn systemd[1]: vsftpd.service failed.
问题原因：
通过 netstat -natp|grep 21 检查端口情况，发现端口可能被占用了；
问题解决：
通过 netstat -natp|grep 21 查询进程pid，通过 kill -9 pid 进行关闭；
$ netstat -natp|grep 21
tcp6 0 0 :::21 :::* LISTEN 21158/vsftpd
$ kill -9 21158
问题三：
问题描述：
vsftpd搭建完成后，通过ftp连接；发现上传文件的时间都会比本地时间慢八个小时。
问题原因：
在 vsftpd.conf 文件中，没有配置使用本地时间；vsftpd.conf 默认使用格林威治时间（GMT）。
问题解决：
在 vsftpd.conf文件中，加入参数 use_localtime=YES 使用本地时间即可；
$ vi /etc/vsftpd/vsftpd.conf
......
use_localtime=YES
$ systemctl restart vsftpd
问题四：
问题描述：
在 vsftpd 搭建完成后，通过ftp命令方式连接；发现ftp连接失败，且出现以下错误信息：
$ ftp 192.168.188.68
连接到 192.168.188.68。
500 OOPS: cannot read banner file:/etc/vsftpd/welcome.txt
远程主机关闭连接。
问题原因：
在配置 vsftpd.conf 时，使用了 banner_file=/etc/vsftpd/banner.txt 参数，但是 banner.txt 文件并不存在；导致通过命令方式连接ftp时出现错误；
问题解决：
在 banner_file=/etc/vsftpd/banner.txt 指定路径下创建 banner.txt 并重启 vsftpd 服务；
$ vi /etc/vsftpd/banner.txt
hosystem FTP-banner test;
$ systemctl restart vsftpd
$ ftp 192.168.188.68
连接到 192.168.188.68;
220-hosystem FTP-banner test;
220
200 Always in UTF8 mode.
问题五：
问题描述：
在 vsftpd.conf 配置中，使用本地用户模式；发现登录FTP时，出现以下错误信息：
Connected to 192.168.188.68 (192.168.188.68).
220 (vsFTPd 3.0.2)
Name (192.168.188.68:root): root
530 Permission denied.
Login failed.
ftp>
问题原因：
原因一：user_list 和 ftpuser 共同作用限制了登录账户；
原因二：登录FTP账户的 shell 被定向为/sbin/nologin
$ cat /etc/passwd
test:x:1003:1003::/var/ftproot/:/sbin/nologin
问题解决：
- 方法一：添加
/sbin/nologin到/etc/shells文件中
$ echo "/sbin/nologin" >> /etc/shells
- 方法二：修改
/etc/pam.d/vsftpd文件
$ vi /etc/pam.d/vsftpd
...
# 方式一: 将 auth required pam_shells.so 注释掉
#auth required pam_shells.so
# 方式二: 将 auth required pam_shells.so 修改为 auth required pam_nologin.so
auth required pam_nologin.so
...
参考文档
vsftpd 操作手册 - 完整版的更多相关文章
- Nmap 操作手册 - 完整版
目录 Nmap - 基础篇 Nmap 安装 RedHat Windows Debina & Ubuntu Others Linux Nmap 参数(简单版) 目标说明 主机发现 扫描技术 端口 ...
- SQL不同服务器数据库之间的数据操作整理(完整版)
---------------------------------------------------------------------------------- -- Author : htl25 ...
- 转载-SQL不同服务器数据库之间的数据操作整理(完整版) .
---------------------------------------------------------------------------------- -- Author : htl25 ...
- centos7.4下Jira6环境部署及破解操作记录(完整版)
废话不多说,以下记录了Centos7针对Jira6的安装,汉化,破解的操作过程,作为运维笔记留存. 0) 基础环境 192.168.10.212 Centos7.4 mysql 5.6 jdk 1.8 ...
- Markdown 语法手册 - 完整版（下）
6. 引用 语法说明: 引用需要在被引用的文本前加上>符号. 代码: > 这是一个有两段文字的引用, > 无意义的占行文字1. > 无意义的占行文字2. > > 无 ...
- Markdown 语法手册 - 完整版（上）
https://blog.csdn.net/witnessai1/article/details/52551362 1. 斜体和粗体 代码: *斜体*或_斜体_ **粗体** ***加粗斜体*** ~ ...
- Python学习手册（第4版） - 专业程序员的养成完整版PDF免费下载_百度云盘
Python学习手册(第4版) - 专业程序员的养成完整版PDF免费下载_百度云盘 提取码:g7v1 作者简介 作为全球Python培训界的领军人物,<Python学习手册:第4版>作者M ...
- 电子书下载：Delphi XE 5 移动开发入门手册（完整版）
更多电子书请到: http://maxwoods.400gb.com 下载:Delphi XE5移动开发入门手册(完整版)
- 【ELK】4.spring boot 2.X集成ES spring-data-ES 进行CRUD操作 完整版+kibana管理ES的index操作
spring boot 2.X集成ES 进行CRUD操作 完整版 内容包括: ============================================================ ...
随机推荐
- mac mini 装UBUNTU后没有WIFI解决办法
1.在终端中运行如下命令,重新安装b43相关的全部驱动和firmware: 复制代码 代码如下: sudo apt-get install bcmwl-kernel-source #Broadcom ...
- SAP PP- OPK8生产订单打印 配置Smart form.
OPK8 正常情况下是不可以配置Smart form 的 OPK8进入工单打印配置界面,选择Forms, 你会发现只有Script form 和PDF form(Adobe form)可选的,没有配置 ...
- SAP 隐式增强 Enhancement point
1.进入编辑器:SE38/SE37/SE24 Edit-->Enhancement Operations-->Create Option 2.填写相关信息,点击对号. 3.点击Enhanc ...
- 模拟HashMap冲突
最近看HashMap的源码,其中相同下标容易产生hash冲突,但是调试需要发生hash冲突,本文模拟hash冲突. hash冲突原理 HashMap冲突是key首先调用hash()方法: static ...
- Object类和Dome的新媒体类型
Object类 所有的类都是继承自Object的 Java Object 类是所有类的父类,也就是说 Java 的所有类都继承了 Object,子类可以使用 Object 的所有方法 Object 类 ...
- postgresql自增id
drop index Ix_product_define_id; drop index Ix_user_umid; drop table invims_product_attention; /*=== ...
- 图像处理——相位恢复（GS,TIE,改进型角谱迭代法）
利用GS,TIE,改进型角谱迭代算法进行相位恢复 角谱传播理论 角谱传播理论可以翻阅傅里叶光学的书,就能找到定量分析的计算公式,可以分析某个平面的角谱垂直传播到另外一个平面的角谱,得到其振幅与相位信息 ...
- 简答一波 HashMap 常见八股面试题 —— 算法系列（2）
请点赞,你的点赞对我意义重大,满足下我的虚荣心. Hi,我是小彭.本文已收录到 GitHub · Android-NoteBook 中.这里有 Android 进阶成长知识体系,有志同道合的朋友,关注 ...
- 【人工智能】【Python】Matplotlib基础
Maplotlib 本文档由萌狼蓝天写于2022年7月24日 目录 Maplotlib (一)Matplotlib三层结构 (二)画布创建.图像绘制.图像显示 (三)图像画布设置.图像保存 (四)自定 ...
- Netty-如何写一个Http服务器
前言 动机 最近在学习Netty框架,发现Netty是支持Http协议的.加上以前看过Spring-MVC的源码,就想着二者能不能结合一下,整一个简易的web框架(PS:其实不是整,是抄) 效果 项目 ...