vsftpd安装配置虚拟用户

原文发表于cu：2016-03-11

参考文档：

1. FTP原理：http://vbird.dic.ksu.edu.tw/linux_server/0410vsftpd_1.php
2. FTP配置：http://vbird.dic.ksu.edu.tw/linux_server/0410vsftpd_2.php
3. 虚拟用户配置：http://yuanbin.blog.51cto.com/363003/129071

一．环境

OS

CentOS6.7 x86_64

网络

Sever：192.168.1.254

Client：192.168.1.100

二．安装与配置

1. 安装

使用yum安装即可：yum install vsftpd -y

2. 软件模块

/etc/vsftpd/vsftpd.conf
vsftpd的配置文件，相关参数设定主要在这个文件进行。
 
/etc/pam.d/vsftpd
vsftpd使用 PAM 模块时的相关配置文件，主要用来作为身份认证之用，还有一些用户身份的抵挡功能， 也是透过这个档案来达成的。
 
/etc/vsftpd/ftpusers
与/etc/pam.d/vsftpd文件有关，也就是 PAM 模块中所指定的那个无法登入的用户配置文件。这个档案的设定简单，只要将“不想让他登入 FTP 的账号”写入这个文件即可。
 
/etc/vsftpd/user_list
这个文件是否生效与vsftpd.conf内的两个参数有关，分别是“userlist_enable”与“userlist_deny”，会根据vsftpd.conf配置文件内的userlist_deny={YES/NO}不同而不同(设置为YES时，是阻止user_list中的账号登入；设置为NO时，是允许user_list中的账号登入)。
/etc/vsftpd/ftpusers是PAM模块的安全设定文件，而/etc/vsftpd/user_list是vsftpd自定义的安全设定文件。
这个文件与/etc/vsftpd/ftpusers几乎一样，在默认情况下，可以将不希望可登入vsftpd账号写入这里。
 
/etc/vsftpd/chroot_list
此文件默认是没有的，需要手工建立，主要作用是将某些账号chroot在其家目录。
文件是否生效与vsftpd.conf的“chroot_list_enable”与“chroot_list_file”两个参数有关。
 
/usr/sbin/vsftpd
vsftpd的执行文件。
 
/var/ftp/
vsftpd默认匿名账户登入根目录，与ftp账号的家目录有关。

3. 配置文件简介

以下列出主要的一些配置项供参考。

服务器环境较相关的设置

connect_from_port_20=YES (NO)
主动式FTP服务器port，ftp-data的端口。
#主动式ftp指server接到client的ftp请求后，由server的20端口主动连接client告知的数据接收port，建立数据传输通道；
#被动式ftp指server接到client的ftp请求后，随机选取大于1024的port告知client，由client主动发起ftp数据通道连接；
#在有ftp的server与client之间有防火墙或nat时，基本只能使用被动式ftp。
 
listen_port=21
vsftpd的命令通道port，如果要使用非正规的端口，在此修改；修改端口号指适合以stand alone方式来启动的vsftpd（对于super daemon 无效)。
 
dirmessage_enable=YES (NO)
当ftp用户进入某个目录时，会显示该目录需要注意的内容，显示的档案默认是 .message ，可以使用下面的设定项目来修改显示内容。
 
message_file=.message
当dirmessage_enable=YES时，可以设定这个项目来让vsftpd 寻找该文件来显示信息。
 
listen=YES (NO)
如果设置为YES，表示vsftpd是以stand alone的方式来启动；设置为NO时，vsftpd以super daemon方式启动。
 
pasv_enable=YES (NO)
支持数据流的被动式联机模式(passive mode)，请设定为YES。
 
use_localtime=YES (NO)
是否使用本地时间？vsftpd默认使用GMT时间(格林威治)，建议设置YES。
 
write_enable=YES (NO)
是否允许用户上传数据。
 
connect_timeout=60
单位是秒，在数据连接的主动式联机模式下，发出的连接信号在 60 秒内得不到client响应，则不等待并强制断线。
 
accept_timeout=60
当client以被动式PASV进行数据传输时，如果server端启用passive port并等待client超过60秒而无响应，那么就强制断线。这个设置与connect_timeout类似，不过一个是管理主动联机，一个管理被动联机。
 
data_connection_timeout=300
如果server与client的数据联机已经成功建立(不论主动还是被动联机)，但是可能由于线路问题导致300秒内没有顺利的完成数据传送，那client的联机就会被vsftpd 强制断线。
 
idle_session_timeout=300
如果client在300 秒内都无命令动作，强制断线。
 
max_clients=0
如果vsftpd 以stand alone方式启动，那么这个设定值可以设置在同一时间，最多有多少 client可以同时连上vsftpd。
 
max_per_ip=0
与max_clients类似，同一个IP同一时间可允许多少联机。
 
pasv_min_port=0, pasv_max_port=0
与 passive mode 使用的port有关，如果你想要使用65400到65410这11个port来进行被动式联机模式的连接，可以这样设定pasv_max_port=65410以及 pasv_min_port=65400。 如果是 0 的话，表示随机取用而不限制。
 
ftpd_banner=一些文字说明
当ftp用户登入时，在 ftp client软件上会显示的说明文字。建议使用下面的banner_file设定值取代这个项目。
 
banner_file=/path/file
指定某个纯文本文件作为用户登入vsftpd服务器时所显示的欢迎字眼。同时，也可以放置一些让用户知道本服务器的目录结构。

与实体用户相关的设置

guest_enable=YES(NO)
设为YES时，任何实体账户，都会被假设成为guest (所以默认是NO)。guest在vsftpd 当中，默认取得ftp账户的相关权限，但可以通过 guest_username来修改。
#使用虚拟账户登录FTP时需要设置为YES。
 
guest_username=ftp
在 guest_enable=YES 时生效，指定guest的身份（虚拟账户统一获得此设置账号的权限）。
 
local_enable=YES(NO)
此设置值必须要为YES时，在/etc/passwd内的账号才能以实体用户的方式登入vsftpd。
 
local_max_rate=0
实体用户的传输速度限制，单位为bytes/secon，0为不限制。
 
chroot_local_user=YES(NO)
默认情况下，是否要将使用者限制在自己的家目录之内(chroot)。如果是YES代表用户默认就会被chroot；如果是NO，则默认不chroot。实际使用需要与下面两个参数互相参考。为了安全性，建议设置为YES。
 
chroot_list_enable=YES(NO)
是否启用chroot写入列表的功能。与下面的chroot_list_flie有关。此值开启时下面的列表档案才会生效。
 
chroot_list_file=/etc/vsftpd.chroot_list
如果chroot_list_enable=YES，那么此设置生效。
 
userlist_enable=YES(NO)
是否借助vsftpd的阻止机制来处理某些不受欢迎的账号，与下面的参数设定有关。
 
userlist_deny=YES(NO)
当userlist_enable=YES时才会生效。若设定为 YES 时，则当用户账号被列入到user_list文档时，在该文档内的账号将不能登入vsftpd 服务器；设置为NO时，则允许user_list中的账号登入。该档案文件名与下列设定项目有关。
 
userlist_file=/etc/vsftpd/user_list
若上面userlist_deny=YES时，则设置文档生效，在这文件内的账号都无法登录vsftpd。

匿名用户登入的相关设置

anonymous_enable=YES(NO)
是否允许anonymous登入vsftpd。默认是YES，下面所有相关设置都需要设置为 anonymous_enable=YES 之后才生效。
 
anon_world_readable_only=YES(NO)
仅允许anonymous 具有下载可读档案的权限，默认是YES。
 
anon_other_write_enable=YES(NO)
是否允许anonymous具有除了写入之外的权限，包括删除与改写服务器上的文件及文件名等权限，默认是NO。如果需要设置为YES，那么开放给anonymous写入的目录需要调整权限，让vsftpd的PID 拥有者可以写入才行。
 
anon_mkdir_write_enable=YES(NO)
是否让anonymous具有建立目录的权限，默认是NO。如果要设置为YES，那么anony_other_write_enable必须设置为YES。
 
anon_upload_enable=YES(NO)
是否让anonymous具有上传数据的功能，默认是NO。如果要设定为 YES ，则 anon_other_write_enable必须设置为YES。
 
deny_email_enable=YES(NO)
禁止某些特殊的email address的anonymous登入。如果以anonymous登入服务器时，要求输入的密码是email address，如果不让某些email address登入，可以使用此设置取消其登入权限，需与下面的设置值配合。
 
banned_email_file=/etc/vsftpd/banned_emails
如果deny_email_enable=YES时，可以使用此设置文件来规定哪些email address不可登入。
 
no_anon_password=YES(NO)
当设定为YES时，表示anonymous将会略过密码检验步骤，而直接登入。
 
non_max_rate=0
单位为bytes/s，限制anonymous的传输速度，如果是0则不限制.
 
anon_umask=077
限制anonymous上传档案的权限。

关于系统安全方面的一些设置

ascii_download_enable=YES(NO)
如果设定为YES，那么client优先(默认)使用ASCII 格式下载文件。
 
ascii_upload_enable=YES(NO)
使用ASCII 格式上传文件，默认是NO。
 
one_process_model=YES(NO)
此设定值比较危险，当设置为YES时，表示每个建立的session都会有一个守护进程负责，可以增加vsftpd的性能。不过除非你的系统比较安全，而且硬件配备比较高，否则容易耗尽系统资源，一般建议设置为NO。
 
tcp_wrappers=YES(NO)
建议设置为YES 。
 
xferlog_enable=YES(NO)
当设定为YES时，用户上传与下载文件都会被纪录起来，记录文件与下面的设置值相关。
 
xferlog_file=/var/log/xferlog
如果xferlog_enable=YES，这里的设置就有效。
 
xferlog_std_format=YES(NO)
是否设置为wu ftp相同的登录文件格式，默认是NO，因为登录档会比较容易读。如果有使用wu ftp登录文件的分析软件，这里需要设定为YES。
 
dual_log_enable=YES, vsftpd_log_file=/var/log/vsftpd.log
通常/var/log/xferlog只记录上传与下载，此设置可以开启用户登录日志。
 
nopriv_user=nobody
vsftpd默认以nobody作为此服务执行者的权限，因为nobody的权限很低，因此即使被入侵，入侵者也仅能取得nobody的权限。
 
pam_service_name=vsftpd
pam模块，一般放置为/etc/pam.d/vsftpd文件。

4. 必要的安全放行配置

SELinux

默认情况下，vsftpd不允许账户登入取得家目录数据(登入使用dir,但不能取得任何数据)，主要是由SELinux引起的。如下：

[root@localhost ~]# getsebool -a | grep ftp
allow_ftpd_anon_write --> off
allow_ftpd_full_access --> off
allow_ftpd_use_cifs --> off
allow_ftpd_use_nfs --> off
ftp_home_dir --> off
#将“allow_ftpd_full_access”与“ftp_home_dir”设置为“on”即可；
#此两项设置需要一点时间，勿着急。
[root@localhost ~]# setsebool -P allow_ftpd_full_access 1
[root@localhost ~]# setsebool -P ftp_home_dir 1
 
[root@localhost ~]# getsebool -a | grep ftp
allow_ftpd_anon_write --> off
allow_ftpd_full_access --> on
allow_ftpd_use_cifs --> off
allow_ftpd_use_nfs --> off
ftp_home_dir --> on

iptables

FTP使用两个端口，另有随机启用的数据流端口，及被动联机的服务器端口等，大概需要如下规则：

#加入iptables的“ip_nat_ftp”与“ip_conntrack_ftp”两个模块；
#大概在底6行，以下两者顺序不可调换。
[root@localhost ~]# vim /etc/sysconfig/iptables-config
IPTABLES_MODULES="ip_conntrack_ftp"
IPTABLES_MODULES="ip_nat_ftp"
 
#开放port 21给访问者使用；
#开放随机启动的数据流端口给访问者连接使用；
#允许client大于1024的随机端口主动发起数据通道连接，server端使用端口65401~65410响应。
[root@localhost ~]# vim /etc/sysconfig/iptables
-A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 65401:65410 --sport 1024:65534 -j ACCEPT
 
#重启iptables
service iptables restart

5. 虚拟账户配置

添加虚拟用户及口令文件

#新建虚拟用户文件
[root@localhost ~]# vim /etc/vsftpd/vftpuser.txt
 
test1          #用户名
123456        #密码
test2
123456

生成虚拟用户口令认证文件

将vftpuser.txt虚拟用户口令文件转换成系统可识别的口令认证文件。

#查看系统有没有安装生成口令认证文件所需的软件db4-utils，如果没有安装采用rpm或者yum方式安装。
[root@localhost ~]# rpm -qa | grep db4-utils
 
#使用db_load命令生成虚拟用户口令认证文件。
[root@localhost ~]# db_load -T -t hash -f /etc/vsftpd/vftpuser.txt /etc/vsftpd/vftpuser.db

编辑vsftpd的PAM认证文件

#将文件中其他行都注释掉，添加下面这两行：
[root@CentOS5 /]#vi /etc/pam.d/vsftpd
 
#%PAM-1.0
auth       required     pam_userdb.so db=/etc/vsftpd/vftpuser
account    required     pam_userdb.so db=/etc/vsftpd/vftpuser
#路径为生成的db路径，去掉后缀
 
#session    optional     pam_keyinit.so    force revoke
#auth       required    pam_listfile.so item=user sense=deny file=/etc/vsftpd/ftpusers onerr=succeed
#auth       required    pam_shells.so
#auth       include     password-auth
#account    include     password-auth
#session    required     pam_loginuid.so
#session    include     password-auth

建立本地映射用户并设置宿主目录权限

#所有的虚拟用户需要映射一个系统用户，此系统用户不需要密码，不可登入系统
[root@localhost ~]# useradd -d /home/vftpsite -s /sbin/nologin vftpuser
 
#注意虚拟用户家目录的权限问题，否则可能导致后面登入但无法读写
[root@localhost ~]# chown -R vftpuser:vftpuser /home/vftpsite

配置vsftpd.conf（虚拟用户配置项相关）

[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf
 
guest_enable=YES #开启虚拟用户
guest_username=vftpuser #FTP虚拟用户对应的系统用户
pam_service_name=vsftpd #PAM认证文件

重启vsftpd服务

[root@localhost ~]# service vsftpd restart

测试虚拟用户登录

C:\>ftp 192.168.1.254
连接到 192.168.1.254。
220 (vsFTPd 2.2.2)
用户(192.168.1.254:(none)): test1
331 Please specify the password.
密码:
230 Login successful.
ftp> dir
200 PORT command successful. Consider using PASV.
150 Here comes the directory listing.
-rw-r--r--    1 0        0               0 Mar 02 21:04 test
226 Directory send OK.
ftp: 收到 62 字节，用时 0.00秒 62.00千字节/秒。
ftp>

6. 虚拟用户高级设置

virtual_use_local_privs参数

#虚拟用户与本地用户有相同的权限
virtual_use_local_privs=YES
 
#虚拟用户与匿名用户有相同的权限，默认是NO。
virtual_use_local_privs=NO

各虚拟用户独立的配置文件(未验证)

[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf
 
#在配置文件中指定一个存放各虚拟用户独立配置文件的目录路径，添加：
user_config_dir=/etc/vsftpd/vftpuser_conf
 
#编辑test1的配置文件：
[root@localhost ~]# vim /etc/vsftpd/vftpuser_conf/test1
 
#可针对读/写/下载/上传等独立配置权限，如：
write_enable=YES #开放写权限
anon_world_readable_only=NO #开放下载权限
anon_upload_enable=YES #开放上传权限
anon_mkdir_write_enable=YES #开放创建目录权限
anon_other_write_enable=YES #开放删除与重命名权限