Linux环境下vsftpd参数配置

很久之前就用过vsftpd，但总是忘了参数该如何配置，今天特地有搜索了一遍，把配置方法整理如下：

（1）检查是否已安装vsftpd

#rpm -qa | grep vsftpd
vsftpd-2.0.-.el5

（2）新建一个FTP用户

#mkdir /home/ftpuser         　　　// 首先为ftpuser用户创建一个用户目录
#adduser -d /home/ftpuser -g ftp -s /sbin/nologin ftpuser　　// -s /sbin/nologin表示让其不能登陆系统，-d指定用户目录为/home/ftpuser，也就是默认访问的目录
#passwd ftpuser　　　　　　　　　　　// 接下来为ftpuser用户设置密码
Changing password for user beinan.
New UNIX password:
Retype new UNIX password:
passwd: all authentication tokens updated successfully.

（3）修改vsftpd的配置文件，使ftpuser不能访问用户目录的上层路径（默认情况下是可以访问用户目录的上层目录的）

#vi /etc/vsftpd/vsftpd.conf
// 去掉以下两行的注释符#
chroot_local_user＝YES
chroot_list_enable=YES　　# 本行可选
chroot_list_file=/etc/vsftpd/chroot_list

// 同时添加一个配置文件:
#vi /etc/vsftpd/chroot_list
// 将要设定权限的用户加进去（只有写进去的用户名才会拥有切换到上层目录的权限，其实不需要这个功能不应该写，留空即可）:
ftpuser

备注：当chroot_local_user=YES 时，chroot_list_file文件中写入的用户（一个一行）表示拥有切换（根路径）上级目录的权限，没写进去的用户则不具备切换（根路径）上层目录的权限；反之，当chroot_local_user=NO（默认） 时，所有用户默认都可以访问用户目录的上层路径，只有写入到chroot_list_file文件中的用户（一个一行）才禁止切换到上层路径。

心得：上面的这个两种情况设定总是不好记，每次理解的都不是很透彻总是忘了。可以这么理解：chroot_local_user是总开关，可以是YES（禁止）本地账户切换上层目录，或者NO（默认，允许）本地账户切换上层目录。但凡事总有例外吧，那么这个chroot_list_file 就是设定例外情况的。也就是与chroot_local_user 设定的含义相反。

（4）设定用户权限

在vsftpd 2.3.5之后，vsftpd增强了安全检查，如果用户被限定在了其主目录下，则该用户的主目录不能再具有写权限了！如果检查发现还有写权限，就会报如下错误：

C:\Users\liuheng.klh>ftp 47.88.58.168
连接到 47.88.58.168。
 Welcome to Victo's FTP service.
用户(47.88.58.168:(none)): ftpuser
 Please specify the password.
密码:
 OOPS: vsftpd: refusing to run with writable root inside chroot()
 OOPS: priv_sock_get_cmd
远程主机关闭连接。

需要做两步设定：

<1> 在配置文件 /etc/vsftpd.conf 文件末尾添加一行： allow_writeable_chroot=YES

<2> 注意新增用户的主目录要有写入权限（直接更改目录所属关系就可以）： chown ftpuser:ftp /home/ftpuser

（5）重新启动vsftpd服务

#service vsftpd restart

（6）开启防火墙

不管是IPTables还是阿里控制台的安全策略，都需要新增防火墙端口控制，分成两步骤：

<1> 设定vsftpd被动端口范围，在vsftpd.conf配置文件中末尾新增两行：pasv_min_port=61001  和  pasv_max_port=62000

<2> 开启如下端口控制：20 - 21、61001 - 62000

（7）附加一下配置示例

 # Example config file /etc/vsftpd.conf
 #
 # The default compiled in settings are fairly paranoid. This sample file
 # loosens things up a bit, to make the ftp daemon more usable.
 # Please see vsftpd.conf. for all compiled in defaults.
 #
 # READ THIS: This example file is NOT an exhaustive list of vsftpd options.
 # Please read the vsftpd.conf. manual page to get a full idea of vsftpd's
 # capabilities.
 #
 #
 # Run standalone?  vsftpd can run either from an inetd or as a standalone
 # daemon started from an initscript.
 listen=YES
 #
 # Run standalone with IPv6?
 # Like the listen parameter, except vsftpd will listen on an IPv6 socket
 # instead of an IPv4 one. This parameter and the listen parameter are mutually
 # exclusive.
 #listen_ipv6=YES
 #
 # Allow anonymous FTP? (Disabled by default)
 anonymous_enable=NO
 #
 # Uncomment this to allow local users to log in.
 local_enable=YES
 #
 # Uncomment this to enable any form of FTP write command.
 write_enable=YES
 #
 # Default umask for local users is . You may wish to change this to ,
 # if your users expect that ( is used by most other ftpd's)
 local_umask=
 #
 # Uncomment this to allow the anonymous FTP user to upload files. This only
 # has an effect if the above global write enable is activated. Also, you will
 # obviously need to create a directory writable by the FTP user.
 #anon_upload_enable=YES
 #
 # Uncomment this if you want the anonymous FTP user to be able to create
 # new directories.
 #anon_mkdir_write_enable=YES
 #
 # Activate directory messages - messages given to remote users when they
 # go into a certain directory.
 dirmessage_enable=YES
 #
 # If enabled, vsftpd will display directory listings with the time
 # in  your  local  time  zone.  The default is to display GMT. The
 # times returned by the MDTM FTP command are also affected by this
 # option.
 use_localtime=YES
 #
 # Activate logging of uploads/downloads.
 xferlog_enable=YES
 #
 # Make sure PORT transfer connections originate from port  (ftp-data).
 connect_from_port_20=YES
 #
 # If you want, you can arrange for uploaded anonymous files to be owned by
 # a different user. Note! Using "root" for uploaded files is not
 # recommended!
 #chown_uploads=YES
 #chown_username=whoever
 #
 # You may override where the log file goes if you like. The default is shown
 # below.
 xferlog_file=/var/log/vsftpd.log
 #
 # If you want, you can have your log file in standard ftpd xferlog format.
 # Note that the default log file location is /var/log/xferlog in this case.
 #xferlog_std_format=YES
 #
 # You may change the default value for timing out an idle session.
 #idle_session_timeout=
 #
 # You may change the default value for timing out a data connection.
 #data_connection_timeout=
 #
 # It is recommended that you define on your system a unique user which the
 # ftp server can use as a totally isolated and unprivileged user.
 #nopriv_user=ftpsecure
 #
 # Enable this and the server will recognise asynchronous ABOR requests. Not
 # recommended for security (the code is non-trivial). Not enabling it,
 # however, may confuse older FTP clients.
 #async_abor_enable=YES
 #
 # By default the server will pretend to allow ASCII mode but in fact ignore
 # the request. Turn on the below options to have the server actually do ASCII
 # mangling on files when in ASCII mode.
 # Beware that on some FTP servers, ASCII support allows a denial of service
 # attack (DoS) via the command "SIZE /big/file" in ASCII mode. vsftpd
 # predicted this attack and has always been safe, reporting the size of the
 # raw file.
 # ASCII mangling is a horrible feature of the protocol.
 #ascii_upload_enable=YES
 #ascii_download_enable=YES
 #
 # You may fully customise the login banner string:
 ftpd_banner=Welcome to Victo's FTP service.
 #
 # You may specify a file of disallowed anonymous e-mail addresses. Apparently
 # useful for combatting certain DoS attacks.
 #deny_email_enable=YES
 # (default follows)
 #banned_email_file=/etc/vsftpd.banned_emails
 #
 # You may restrict local users to their home directories.  See the FAQ for
 # the possible risks in this before using chroot_local_user or
 # chroot_list_enable below.
 chroot_local_user=YES
 #
 # You may specify an explicit list of local users to chroot() to their home
 # directory. If chroot_local_user is YES, then this list becomes a list of
 # users to NOT chroot().
 # (Warning! chroot'ing can be very dangerous. If using chroot, make sure that
 # the user does not have write access to the top level directory within the
 # chroot)
 chroot_local_user=YES
 chroot_list_enable=YES
 # (default follows)
 chroot_list_file=/etc/vsftpd.chroot_list
 #
 # You may activate the "-R" option to the builtin ls. This is disabled by
 # default to avoid remote users being able to cause excessive I/O on large
 # sites. However, some broken FTP clients such as "ncftp" and "mirror" assume
 # the presence of the "-R" option, so there is a strong case for enabling it.
 #ls_recurse_enable=YES
 #
 # Customization
 #
 # Some of vsftpd's settings don't fit the filesystem layout by
 # default.
 #
 # This option should be the name of a directory which is empty.  Also, the
 # directory should not be writable by the ftp user. This directory is used
 # as a secure chroot() jail at times vsftpd does not require filesystem
 # access.
 secure_chroot_dir=/var/run/vsftpd/empty
 #
 # This string is the name of the PAM service vsftpd will use.
 pam_service_name=vsftpd
 #
 # This option specifies the location of the RSA certificate to use for SSL
 # encrypted connections.
 rsa_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
 # This option specifies the location of the RSA key to use for SSL
 # encrypted connections.
 rsa_private_key_file=/etc/ssl/private/ssl-cert-snakeoil.key

 # Add by KLH,  :
 pasv_min_port=
 pasv_max_port=

 allow_writeable_chroot=YES

下面将常用的vsftpd.conf文件配置参数进行说明：

1． 匿名服务器的连接（独立的服务器）

在/etc/vsftpd/vsftpd.conf配置文件中添加如下几项：

Anonymous_enable=yes    （允许匿名登陆)
Dirmessage_enable=yes    （切换目录时，显示目录下.message的内容）
Local_umask=             （FTP上本地的文件权限，默认是077）
Connect_form_port_20=yes     （启用FTP数据端口的数据连接）*
Xferlog_enable=yes          （激活上传和下传的日志）
Xferlog_std_format=yes    （使用标准的日志格式)）
Ftpd_banner=XXXXX        （欢迎信息）
Pam_service_name=vsftpd （验证方式）*
Listen=yes         （独立的VSFTPD服务器）* 

功能：只能连接FTP服务器，不能上传和下传

注：其中所有和日志欢迎信息相关连的都是可选项，打了星号的无论什么帐户都要添加，是属于FTP的基本选项

2． 开启匿名FTP服务器上传权限

在配置文件中添加以下的信息即可：

Anon_upload_enable=yes     （开放上传权限）
Anon_mkdir_write_enable=yes （可创建目录的同时可以在此目录中上传文件）
Write_enable=yes             （开放本地用户写的权限）
Anon_other_write_enable=yes  （匿名帐号可以有删除的权限）

3． 开启匿名服务器下传的权限

在配置文件中添加如下信息即可：

Anon_world_readable_only=no 

注：要注意文件夹的属性，匿名帐户是其它（other）用户要开启它的读写执行的权限 ：（R）读—–下传 （W）写—-上传 （X）执行——如果不开FTP的目录都进不去

4．普通用户FTP服务器的连接（独立服务器）

在配置文件中添加如下信息即可：

Local_enble=yes （本地帐户能够登陆）
Write_enable=no （本地帐户登陆后无权删除和修改文件）

注：可以用本地帐户登陆vsftpd服务器，有下载上传的权限 注：在禁止匿名登陆的信息后匿名服务器照样可以登陆但不可以上传下传

5． 限定用户进入其主目录以外的目录

设置所有的本地用户都执行：

chroot chroot_local_user=yes （本地所有帐户都只能在自家目录） 

设置指定用户执行

chroot chroot_list_enable=yes （chroot_list_file文件中的名单可以调用）
chroot_list_file= /etc/vsftpd/chroot_list  （该文件中指定需要限定的用户名，该文件可以放在任意其他路径中）

注：chroot_list 默认是不存在的，需要自己手动添加，在该文件中加入想要控制权限的用户名即可。

特别说明：当chroot_local_user=yes时，chroot_list_file中指定的用户将不会限定在用户目录，其他用户都被限定了；只有当chroot_local_user=no时，chroot_list_file中指定的用户才是禁止访问用户目录以外的路径。

6． 限制本地用户访问FTP

Userlist_enable=yes（用userlistlai 来限制用户访问）
Userlist_deny=no    （名单中的人不允许访问）
Userlist_file=/指定文件存放的路径/ （文件放置的路径） 

注：开启userlist_enable=yes匿名帐号不能登陆

7． 一些安全选项

Idle_session_timeout=    （单位：秒，用户会话空闲后10分钟） 
Data_connection_timeout= （单位：秒，将数据连接空闲2分钟断） 
Accept_timeout=      （单位：秒，将客户端空闲1分钟后断） 
Connect_timeout=     （单位：秒，中断1分钟后又重新连接） 
Local_max_rate=   （单位：bit，本地用户传输率50K） 
Anon_max_rate=    （单位：bit，匿名用户传输率30K） 
Pasv_min_port=
Pasv_max_port=60000 （将客户端的数据连接端口改在50000—60000之间）
Max_clients=     （FTP的最大连接数）
Max_per_ip=        （每IP的最大连接数）
Listen_port=    （从5555端口进行数据连接）

8． 新建FTP用户，并指定用户的默认FTP目录（不通过指定用户目录的方式）

创建FTP用户，限定其登陆操作系统：

#useradd -s /sbin/nologin -g ftp newUser
#passwd newUser

添加用户配置文件目录：

#vi /etc/vsftpd/vsftp.conf
// 指定用户配置信息路径：
user_config_dir=/var/ftp
// 保存退出

创建该用户的FTP根目录：

#mkdir -p /var/www/bbs/

指定newUser用户的FTP根目录：

#vi /var/ftp/boy
// 添加如下
local_root=/var/www/bbs/

#chmod  /var/www/bbs/

重启vsftpd服务即可。

9． 查看谁登陆了FTP，并杀死它的进程

ps –xf |grep ftp

kill 进程号

10． 开启虚拟账户

首先要知道什么是虚拟账户：虚拟账户是FTP服务提供的专用账户，它不属于操作系统的账户，而只能够登录FTP服务器。所有的虚拟账户都对应着同一个操作系统账户，也就是说所有虚拟账户的权限都受到该操作系统账户的权限限制。下面来看一下增加FTP虚拟账户的步骤：

10.1 在操作系统中添加一个FTP虚拟账户对应的本地账户（由于是FTP虚拟账户，所以对应的本地账户不应该指定较高权限，-s /sbin/nologin表示不允许登陆操作系统）

#useradd -d /home/vftpuser -s /sbin/nologin vftpuser

.2 编写一个账户信息文件，并生成对应的账户信息数据库

#vi /etc/vsftpd/vftpuser.txt
// 添加以下账户信息（奇数行为账户名称，偶数行为对应的密码）：
user1
password1
user2
password2

// 利用db_load生成账户信息数据库
#db_load -T -t hash -f /etc/vsftpd/vftpuser.txt /etc/vsftpd/vftpuser.db

注意：如果要添加更多的账户，在vftpuser.txt文件中添加新用户名和密码，然后重新调用db_load生成vftpuser.db即可。

10.3 开启PAM账户认证

#vi /etc/pam.d/vsftpd
// 将里面其他的都注释掉，写入下面这两行：
auth sufficient /lib/security/pam_userdb.so db=/etc/vsftpd/vftpuser
account sufficient /lib/security/pam_userdb.so db=/etc/vsftpd/vftpuser

注意：上面红色的关键字如果是required，则会造成本地账户无法同时登陆。

10.4 开启vsftpd服务对虚拟账户的支持

#vi /etc/vsftpd/vsftpd.conf
anonymous_enable=NO    　　 // 关闭匿名用户【该项已存在,需修改】
guest_enable=YES    　　　　// 开启虚拟用户　　
guest_username=vftpuser    // FTP虚拟用户对应的系统用户
pam_service_name=vsftpd    // PAM认证文件
user_config_dir=/etc/vsftpd/vsftpd_config_dir     // 用户配置文件的目录

.5 给FTP虚拟账户指定参数，每一个账户都用一个同名文件来指定权限（下面以user1用户为例）

vi /etc/vsftpd/vsftpd_config_dir/user1
// 指定以下参数，仅针对user1用户有效：
local_root=/data/ftproot/user1 // 该用户的主目录
anon_world_readable_only=NO    // 下载权限
anon_upload_enable=YES         // 上传权限
anon_mkdir_write_enable=YES    // 创建目录的权限
anon_other_write_enable=NO     // 删除和重命名的权限

10.6 重新启动vsftpd服务使配置生效

#service vsftpd restart

=============================================================================================

小问题汇集：

<1>vsftpd连接速度非常慢，需要等上十几秒，这是为什么？

解答：原因是vsftp在登陆时做了DNS检查来确认域名，解决办法有两个：1、在resolv.conf文件中删除localhost或者127.0.0.1这样的地址；2、在vsftpd.conf文件中加入：reverse_lookup_enable=NO。

<2>如何指定特定用户的操作权限？

解答：在vsftp的配置文件/etc/vsftpd.conf里头添加这么一行：user_config_dir=/etc/vsftpd_user_conf，然后在/etc/vsftpd_user_conf目录里头创建和用户名同名的文件，比如ftpuser，添加如下内容：

local_root=/vsr/www/html        // 指定用户目录
// 指定用户的操作权限（这里表示可上传下载，删除，创建文件夹等）
cmds_allowed=ABOR,CWD,LIST,DELE,RMD,MDTM,MKD,NLST,PASS,PASV,PORT,PWD,QUIT,REST,RETR,RNFR,RNTO,SIZE,STOR,TYPE,USER,ACCT,APPE,CDUP,HELP,MODE,NOOP,REIN,STAT,STOU,STRU,SYST

注意，用户不能上传和删除极有可能是文件夹操作权限的问题，通过chmod可以解决。

<3>如何开启FTP操作日志功能？

解答：在vsftp的配置文件/etc/vsftp.conf里头添加如下内容，已有的进行修改即可：

xferlog_enable=YES             // FTP服务器记录上传下载情况
xferlog_std_format=YES      　　// 表示将记录的上传下载情况写在xferlog_file所指定的文件中，即/var/log/xferlog文件
xferlog_file=/var/log/xferlog   // 指定日志记录文件（该文件可以利用标准日志工具进行分析）
dual_log_enable=YES         　　// 开启双份日志记录功能，在用xferlog文件记录服务器上传下载情况的同时，vsftpd_log_file所指定的文件（即/var/log/vsftpd.log），也将用来记录服务器的传输情况
vsftpd_log_file=/var/log/vsftpd.log      // vsftpd格式的日志文件
syslog_enable=NO            　　// 将vsftpd日志输出到系统日志中