一般来讲,人们将计算机联网的首要目的就是获取资料,而文件传输是一种非常重要的获取资料的方式。
FTP是一种在互联网中进行文件传输的协议,基于客户端/服务器模式,默认使用20、21号端口,其中端口20用于进行数据传输,端口21用于接受客户端发出的相关FTP命令与参数。
FTP服务器普遍部署于内网中,具有容易搭建、方便管理的特点,有些FTP客户端工具还可以支持文件的多点下载以及断点续传技术。
FTP服务器是按照FTP协议在互联网上提供文件存储和访问服务的主机,FTP客户端则是向服务器发送连接请求,以建立数据传输链路的主机。FTP协议有下面两种工作模式:
主动模式的工作原理:FTP
客户端连接到FTP
服务器的21端口,发送用户名和密码登录,登录成功后要list
列表或者读取数据时,客户端随机开放一个端口(1024以上),发送 PORT
命令到FTP服务器,告诉服务器客户端采用主动模式并开放端口;FTP
服务器收到PORT
主动模式命令和端口号后,通过服务器的20端口和客户端开放的端口连接,发送数据。
被动模式的工作原理:FTP
客户端连接到FTP
服务器的21端口,发送用户名和密码登录,登录成功后要list
列表或者读取数据时,发送PASV
命令到FTP
服务器, 服务器在本地随机开放一个端口(1024以上),然后把开放的端口告诉客户端, 客户端再连接到服务器开放的端口进行数据传输。
vsftpd
的全称是 Very Secure FTP Daemon
的意思;安全性是它的一个最大的特点,vsftpd
是一个UNIX
类操作系统上运行的服务器的名称,它可以运行在Linux
、BSD
、Solaris
、HP-UNIX
等系统上面,是一个完全免费的、开放源码的ftp
服务器软件,支持很多其他的FTP服务器所不支持的特征。
vsftpd
这个服务的启动者身份为一般用户,所以对于 Linux
系统的权限较低,对于 Linux
系统的危害就相对的减低了;绝大部分 ftp
会使用到的额外指令功能 (dir, ls, cd ...
) 都已经被整合到 vsftpd
主程序当中了,因此理论上 vsftpd
不需要使用到额外的系统提供的指令,所以在 chroot
的情况下,vsftpd
不但可以顺利运作,且不需要额外功能对于系统来说也比较安全;
vsftpd
作为更加安全的文件传输协议服务程序,允许用户以3种认证模式登录FTP服务器:
vsftpd
# 更新apt软件包列表
sudo apt-get update
# 安装vsftpd
sudo apt-get install vsftpd
# 检测是否安装
vsftpd -version
# 设置FTP服务开机自启动。
sudo systemctl enable vsftpd.service
# 启动FTP服务
sudo systemctl start vsftpd.service
dpkg -s vsftpd
执行该命令时如果提示错误信息Job for vsftpd.service failed because the control process exited with error code
,请排查是否存在下述问题:
21端口被占用时,使用lsof -i:21
命令查看是否存在进程,如果存在进程,使用kill -9 <进程号>
命令杀掉进程。
网络环境不支持IPv6时,在/etc/vsftpd.conf
配置文件中,将listen_ipv6=YES
修改为listen_ipv6=NO
。
MAC地址不匹配时,运行ifconfig
命令查看MAC地址,并在/etc/sysconfig/network-scripts/ifcfg-xxx
配置文件中新增或修改HWADDR=<MAC地址>
。
dpkg -s vsftpd
/etc/ftpusers
/etc/init.d/vsftpd
/etc/logrotate.d/vsftpd
/etc/pam.d/vsftpd
/etc/vsftpd.conf #配置文件
运行以下命令,查看FTP服务监听的端口:
# 安装netstate
sudo apt install -y net-tools
# 查看FTP服务的端口
sudo netstat -antup | grep ftp
此时,vsftpd
默认已开启本地用户模式,还需要继续进行配置才能正常使用FTP
服务。
vsftpd
# 卸载ftp服务,--purge:选项表示彻底删除改软件和相关文件
sudo apt-get remove --purge vsftpd
配置文件 | 说明 |
---|---|
/etc/vsftpd/vsftpd.conf | 主配置文件 |
/usr/sbin/vsftpd | vsftpd 的主程序 |
/etc/rc.d/init.d/vsftpd | 启动脚本 |
/etc/pam.d/vsftpd | PAM 认证文件(此文件中file=/etc/vsftpd/ftpusers 字段,指明阻止访问的用户来自/etc/vsftpd/ftpusers 文件中的用户) |
/etc/vsftpd/ftpusers | 禁止使用vsftpd 的用户列表文件。记录不允许访问FTP 服务器的用户名单,管理员可以把一些对系统安全有威胁的用户账号记录在此文件中,以免用户从FTP 登录后获得大于上传下载操作的权利,而对系统造成损坏。(注意:linux-4 中此文件在/etc/ 目录下) |
/etc/vsftpd/user_list | 禁止或允许使用vsftpd 的用户列表文件。这个文件中指定的用户缺省情况(即在/etc/vsftpd/vsftpd.conf 中设置userlist_deny=YES )下也不能访问FTP服务器,在设置了userlist_deny=NO 时,仅允许user_list中指定的用户访问FTP服务器。(注意:linux-4 中此文件在/etc/目录下) |
/etc/vsftpd/chroot_list | 主要功能是可以将某些账号的使用者 chroot 在制定目录下; |
/var/ftp | 匿名用户主目录;本地用户主目录为:/home/ 用户主目录,即登录后进入自己家目录 |
/etc/vsftpd/vsftpd.conf
本身就是一个挺详细的配置文件,且使用『 man 5 vsftpd.conf
』则可以得到完整的参数说明;这里依旧先对 vsftpd.conf
内的常用参数作说明。
参数设定值 | 默认值 | 作用 |
---|---|---|
connect_from_port_20=YES|NO | YES | 指定FTP使用20端口进行数据传输 |
listen_port=21 | 21 | 设置FTP服务器建立连接所监听的端口 |
dirmessage_enable=YES|NO | YES | 如果启动选项,第一次进入目录时,若有.message这个档案,则会出现此档案的内容,通常这个档案会放置欢迎话语,或是对该目录的说明; |
message_file=.message | .message | 设置目录消息文件,可将要显示的信息写入该文件。默认值为.message |
listen=YES|NO | YES | 设置vsftpd服务器是否以standalone模式运行 |
pasv_enable=YES|NO | YES | 是否使用PASV工作模式(被动莫模式) |
use_localtime=YES|NO | NO | vsftpd使用本机时间作为vsftpd时间; 默认为显示格林威治时间(GMT); |
write_enable=YES|NO | YES | 允许登陆用户有写权限;属于全局设置,默认值为YES。 |
connect_timeout=60 | 60 | PORT 方式下建立数据连接的超时时间,单位为秒 |
accept_timeout=60 | 60 | 建立FTP连接的超时时间,单位为秒 |
data_connection_timeout=120 | 300 | 建立FTP数据连接的超时时间,单位为秒 |
idle_session_timeout=300 | 300 | 多长时间不对FTP服务器进行任何操作,则断开该FTP连接,单位为秒 |
max_clients=0 | 0 | vsftpd允许的最大连接数,默认值为0,表示不受限制 |
max_per_ip=0 | 0 | 设置每个IP允许与FTP服务器同时建立连接的数目,默认值为0,表示不受限制 |
pasv_min_port=0, pasv_max_port=0 | pasv_min_port:0 pasv_max_port:0 | 在PASV工作模式下,数据连接可以使用的端口范围的最小端口,0 表示任意端口; 在PASV工作模式下,数据连接可以使用的端口范围的最大端口,0 表示任意端口; |
ftpd_banner=文字说明 | NULL | 用来定义欢迎话语的字符串,而ftpd_banner 则是字符串的形式 |
banner_file=/path/file | NULL | 用来定义欢迎话语的字符串,banner_file是档案的形式 |
参数设定值 | 默认值 | 作用 |
---|---|---|
guest_enable=YES|NO | NO | 启用虚拟用户 |
guest_username=ftp | ftp | 用来映射虚拟用户 |
local_enable=YES|NO | YES | 控制是否允许本地用户登入,YES 为允许本地用户登入,NO为不允许 |
local_max_rate=0 | 0 | 本地用户使用的最大传输速度,单位为B/s,0 表示不限制速度 |
chroot_local_user=YES|NO | NO | 用于指定用户列表文件中的用户是否允许切换到上级目录 |
chroot_list_enable=YES|NO | NO | 设置是否启用chroot_list_file配置项指定的用户列表文件 |
chroot_list_file=/etc/vsftpd.chroot_list | 用于指定用户列表文件, 该文件用于控制用户可以切换到用户家目录的上级目录 | |
userlist_enable=YES|NO | NO | 是否启用vsftpd.user_list文件 |
userlist_deny=YES|NO | YES | 决定vsftpd.user_list文件中的用户是否能够访问FTP服务器; 设置为YES,则vsftpd.user_list文件中的用户不允许访问FTP; 若设置为NO,则只有vsftpd.user_list文件中的用户才能访问FTP; |
userlist_file=/etc/vsftpd/user_list | NO | 控制用户访问FTP的文件,里面写着用户名称。一个用户名称一行 |
参数设定值 | 默认值 | 作用 |
---|---|---|
anonymous_enable=YES|NO | YES | 控制是否允许匿名用户登入,YES 为允许匿名登入,NO 为不允许 |
anon_world_readable_only=YES|NO | YES | 如果设为YES,则允许匿名登入者下载可阅读的文件 |
anon_other_write_enable=YES|NO | NO | 允许匿名登入者拥有上传或者建立目录之外的权限;如,删除或者重命名; anon_upload_enable=NO,则匿名用户不能上传文件,但可删除或重命名已经存在的文件; anon_mkdir_write_enable=NO,则匿名用户不能上传或者新建文件夹,但可以删除或者重命名已经存在的文件夹; |
anon_mkdir_write_enable=YES|NO | NO | 允许匿名登入者有新增目录的权限,只有在write_enable=YES时,此项才有效; 匿名用户必须要有对上层目录的写入权; |
anon_upload_enable=YES|NO | NO | 允许匿名登入者有上传文件(非目录)的权限,只有在write_enable=YES时,此项才有效; 匿名用户必须要有对上层目录的写入权; |
deny_email_enable=YES|NO | NO | 启动这项功能,则必须提供一个档案/etc/vsftpd/banner_emails,内容为email address; 若是使用匿名登入,则会要求输入email address; 若输入的email address 在此档案内,则不允许进入; |
banned_email_file=/etc/vsftpd/banned_emails | /etc/vsftpd.banned_emails | 用来输入email address,只有在deny_email_enable=YES时,才会使用到此文件; 若是使用匿名登入,则会要求输入email address,若输入的email address 在此档案内,则不允许进入; |
no_anon_password=YES|NO | NO | 启动这项功能,则使用匿名登入时,不会询问密码 |
anon_max_rate=0 | 0 | 设置匿名登入者使用的最大传输速度,单位为B/s,0 表示不限制速度 |
anon_umask=077 | 077 | 设置匿名登入者新增或上传档案时的umask 值 |
参数设定值 | 默认值 | 作用 |
---|---|---|
ascii_download_enable=YES|NO | NO | 设置是否启用ASCII 模式下载数据 |
ascii_upload_enable=YES|NO | NO | 设置是否启用ASCII 模式上传数据 |
one_process_model=YES|NO | YES | |
tcp_wrappers=YES|NO | YES | 设置vsftpd是否与tcp wrapper相结合来进行主机的访问控制; 启用,则vsftpd会检查/etc/hosts.allow 和/etc/hosts.deny 中的配置,来决定请求连接的主机,是否允许访问该FTP服务器; |
xferlog_enable=YES|NO | YES | 是否启用上传/下载日志记录; 启用,则上传与下载的信息将被完整纪录在xferlog_file 所定义的文件中; |
xferlog_file=/var/log/xferlog | /var/log/vsftpd.log | 设置日志文件名和路径 |
xferlog_std_format=YES|NO | NO | 启用,则日志文件将会写成xferlog的标准格式,如同wu-ftpd 一般 |
dual_log_enable=YES|NO, vsftpd_log_file=/var/log/vsftpd.log | /var/log/vsftpd.log | 编写vsftpd样式日志文件的文件的名称; 仅当 设置了选项xferlog_enable并且未设置xferlog_std_format时, 才会写入此日志; 或,如果已设置选项dual_log_enable,则会写入; 如果设置了 syslog_enable,则不会写入此文件,而是将输出发送到系统日志; |
nopriv_user=nobody | vsftpd在完全没有特权的情况下使用的用户名; 这应该是专用用户,而不是任何人 | |
pam_service_name=vsftpd | /etc/pam.d/vsftpd | 设置PAM使用的名称 |
# 创建FTP用户主目录
sudo mkdir /home/uftp
# 添加FTP用户uftp,指定用户主目录和所用shell
sudo useradd -d /home/uftp -s /bin/bash uftp
# 设置uftp的密码
sudo passwd uftp
# 输入密码:
# 再次输入密码:
但是也有特殊需求,如希望设置的用户只能访问FTP,而不能直接登录系统。(可选)
# 将uftp用户的Shell修改为/sbin/nologin,它不允许用户登录系统
sudo usermod -s /bin/nologin uftp
/home/uftp/
目录的拥有者为uftp
。sudo chown -R uftp:uftp /home/uftp/
可以通过编辑/etc/vsftpd.conf
文件来配置vsftpd
服务器。大多数设置在配置文件中都有详细记录。有关所有可用选项,请访问官方vsftpd 页面。
编辑vsftpd.conf
文件,命令如下:
# 在编辑之前先完成vsftpd.conf的备份
sudo cp vim /etc/vsftpd.conf /etc/vsftpd.conf.bak
# 编辑vsftpd.conf文件
sudo vim /etc/vsftpd.conf
#禁止匿名登录FTP服务器。
anonymous_enable=NO
#允许本地用户登录FTP服务器。
local_enable=YES
#
注释掉以下参数,关闭监听IPv6 sockets
,开启IPv4
(ipV4
和ipV6
不能同时被监听):# 启用IPv4
listen=YES
# 关闭监听IPv6 sockets
#listen_ipv6=YES
write_enable
设置以允许对文件系统进行更改,例如上传和删除文件:# 取消注释write_enable
write_enable=YES
/etc/vsftpd.conf
文件的最后)# 开启被动模式。
pasv_enable=YES
#设置被动模式下,建立数据传输可使用的端口范围的最小值。
#建议您把端口范围设置在一段比较高的范围内,例如50000~50010,有助于提高访问FTP服务器的安全性。
pasv_min_port=50000
#设置被动模式下,建立数据传输可使用的端口范围的最大值。
pasv_max_port=50010
chroot
,为防止FTP用户访问其主目录之外的任何文件:(添加在/etc/vsftpd.conf
文件的最后)# 全部用户被限制在主目录
chroot_local_user=YES
# 启用例外用户名单
chroot_list_enable=YES
# (default follows)
# 指定例外用户列表文件,列表中用户不被锁定在主目录
chroot_list_file=/etc/vsftpd.chroot_list
创建chroot_list
文件,按i
,进入编辑模式。输入例外用户名单。此名单中的用户不会被锁定在主目录,可以访问其他目录。
sudo vim /etc/vsftpd.chroot_list
默认情况下,为了防止安全漏洞,启用chroot
后,如果用户锁定的目录可写,则vsftpd
将拒绝上传文件,在vsftpd
配置文件中添加以下指令。
allow_writeable_chroot=YES
注意删除/etc/pam.d/vsftpd文件,否则出现530异常
# 重启FTP服务
sudo systemctl restart vsftpd
# 查询FTP服务状态
sudo systemctl status vsftpd
如果正在运行UFW
防火墙,则需要允许FTP通信。
要打开端口21
(FTP命令端口),端口20
(FTP数据端口)和50000-50010
(被动端口范围),请运行以下命令:
sudo ufw allow 20:21/tcp
sudo ufw allow 50000:50010/tcp
最后,可以使用不同的FTP
客户端连接vsftpd
服务器进行连接测试,例如:flashfxp
、fileZilla
等等。
vsftpd
服务程序默认开启了匿名开放模式,需要开启匿名用户的上传、下载权限,以及让匿名用户创建、删除、更名文件的权限。真实环境不建议这样配置。FTP服务器匿名用户对应的系统用户是ftp
。
编辑vsftpd.conf
文件,命令如下:
# 在编辑之前先完成vsftpd.conf的备份
sudo cp vim /etc/vsftpd.conf /etc/vsftpd.conf.bak
# 编辑vsftpd.conf文件
sudo vim /etc/vsftpd.conf
在vsftpd.conf
文件中添加匿名用户相关配置:
# 监听ipv4,启用独立模式
listen=YES
# 启用匿名用户模式
anonymous_enable=YES
# 允许写操作
write_enable=YES
# 允许匿名用户上传文件
anon_upload_enable=YES
# 允许匿名用户创建目录
anon_mkdir_write_enable=YES
# 允许匿名用户修改或删除目录
anon_other_write_enable=YES
# 表示上传下载文件的掩码
anon_umask=077
# 设置用户的家目录,登录之后自动切换到各自用户的家目录
local_root=/srv/ftp/upload
# 全部用户被限制在主目录
chroot_local_user=YES
# 开启被动模式。
pasv_enable=YES
#设置被动模式下,建立数据传输可使用的端口范围的最小值。
#建议您把端口范围设置在一段比较高的范围内,例如50000~50010,有助于提高访问FTP服务器的安全性。
pasv_min_port=50000
#设置被动模式下,建立数据传输可使用的端口范围的最大值。
pasv_max_port=50010
在/srv/ftp
目录下创建upload
目录并完成赋权操作:
sudo mkdir /srv/ftp/upload
sudo chown -R :ftp /srv/ftp/upload
重启服务
# 重启服务
sudo service vsftpd restart
# 查看服务状态
sudo service vsftpd status
可以通过查看/etc/passwd
文件中的ftp
用户及主目录信息:
# 查看passwd文件中的ftp用户信息
grep 'ftp' /etc/passwd
默认情况下,ftp
的根目录为/srv/ftp
,为了安全,这个目录默认不允许设置为777权限,否则ftp
将无法访问。但是我们要匿名上传文件,需要“other”用户的写权限,正确的做法:
在/srv/ftp
中建立一个upload
(名子自己起吧)文件夹,将个文件夹权限设置为775(视具体需要自己设),在upload
这个文件夹中,匿名用户可以上传文件、创建文件夹、删除文件等。
# 在/srv/ftp目录下创建upload目录
sudo mkdir /srv/ftp/upload
# 将upload目录的所属组root更改为ftp
sudo chown :ftp /srv/ftp/upload
# 设置upload目录的权限为775
sudo chmod 775 /srv/ftp/upload
最后,可以使用不同的FTP
客户端连接vsftpd
服务器进行连接测试,例如:flashfxp
、fileZilla
等等。
# 在etc目录下创建vsftpd.vuser_list,定义虚拟用户的账号和密码
sudo vim /etc/vsftpd.vuser_list
# 输入内容,奇数行为账号,偶数行为密码
ftptest
ftptest
test
test
由于明文信息既不安全,也不符合让vsftpd
服务程序直接加载的格式,因此需要使用db_load
命令用哈希(hash
)算法将原始的明文信息文件转换成数据库文件,并且降低数据库文件的权限(避免其他人看到数据库文件的内容),然后再把原始的明文信息文件删除。
# 安装db_load
apt-get install -y db-util
# 通过db_load命令实现明文转密文
sudo db_load -T -t hash -f /etc/vsftpd.vuser_list /etc/vsftpd/vsftpduser.db
# 删除明文文件,不强制要求,但是推荐删除
sudo rm -rf /etc/vsftpd.vuser_list
vsftpd
服务程序用于存储文件的根目录以及用于虚拟用户映射的系统本地用户。# -s /sbin/nologin: 表示virtual禁止通过ssh登录
sudo useradd -d /home/vftproot -m -s /sbin/nologin virtual
# 赋权775
sudo chmod -Rf 775 /home/vftproot
新建一个用于虚拟用户认证的PAM
文件vsftpd.vu
,其中PAM文件内的db=
参数为使用db_load
命令生成的账户密码数据库文件的路径,但不用写数据库文件的后缀。
sudo vi /etc/pam.d/vsftpd.vu
# 以下为添加内容
auth required pam_userdb.so db=/etc/vsftpd/vsftpduser
account required pam_userdb.so db=/etc/vsftpd/vsftpduser
编辑vsftpd.conf
文件,命令如下:
# 在编辑之前先完成vsftpd.conf的备份
sudo cp vim /etc/vsftpd.conf /etc/vsftpd.conf.bak
# 编辑vsftpd.conf文件
sudo vim /etc/vsftpd.conf
在vsftpd.conf
文件中添加虚拟用户相关配置:
# 禁止匿名开放模式
anonymous_enable=NO
# 允许本地用户模式
local_enable=YES
# 设置可写权限
write_enable=YES
# 开启虚拟用户模式
guest_enable=YES
# 指定虚拟用户对应的系统用户
guest_username=virtual
# 允许对禁锢的FTP根目录执行写入操作,而且不拒绝用户的登录请求
allow_writeable_chroot=YES
# 指定PAM文件
pam_service_name=vsftpd.vu
# 全部用户被限制在主目录
chroot_local_user=YES
# 表示上传下载文件的掩码
local_umask=022
# 开启被动模式
pasv_enable=YES
# 设置被动模式下,建立数据传输可使用的端口范围的最小值。
pasv_min_port=50000
# 设置被动模式下,建立数据传输可使用的端口范围的最大值。
pasv_max_port=50010
重启服务
# 重启服务
sudo service vsftpd restart
# 查看服务状态
sudo service vsftpd status
/home/vftproot/
下分别为不同的虚拟用户创建各自的主目录并完成赋权。# 创建vusers_dir目录,dir1对应ftptest的主目录;dir2对应test的主目录。ftptest/test
sudo mkdir /home/vftproot/{dir1,dir2}
# 更改用户组为virtual
sudo chown :virtual /home/vftproot/{dir1,dir2}
# 更新文件权限为775
sudo chmod 775 /home/vftproot/{dir1,dir2}
# 创建vusers_dir目录
sudo mkdir /etc/vsftpd/vusers_dir
# 分别创建ftptest和test虚拟用户对应的权限文件
sudo touch /etc/vsftpd/vusers_dir/ftptest
sudo touch /etc/vsftpd/vusers_dir/test
ftptest
虚拟用户权限为上传、创建、修改、查看、删除文件;test
虚拟用户权限为只允许查看文件。
# 编辑ftptest虚拟用户的权限文件
sudo vim /etc/vsftpd/vusers_dir/ftpuser
# 添加以下内容
write_enable=YES
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_other_write_enable=YES
local_root=/home/vftproot/dir1
# 编辑test虚拟用户的权限文件
sudo vim /etc/vsftpd/vusers_dir/test
# 添加以下内容
local_root=/home/vftproot/dir2
vsftpd
主配置文件,通过添加user_config_dir
参数通过添加user_config_dir
参数定义这两个虚拟用户不同权限的配置文件所存放的路径。
# user_config_dir参数来定义这两个虚拟用户不同权限的配置文件所存放的路径
user_config_dir=/etc/vsftpd/vusers_dir
重启vsftpd
服务
# 重启服务
sudo service vsftpd restart
# 查看服务状态
sudo service vsftpd status
本地测试一下,输入ftp localhost
命令回车,再分别输入虚拟用户的账号和密码即可:
zking@zking:/etc/vsftpd$ ftp localhost
Connected to localhost.
220 (vsFTPd 3.0.5)
Name (localhost:zking): ftptest
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp>
最后,可以使用不同的FTP
客户端连接vsftpd
服务器进行连接测试,例如:flashfxp
、fileZilla
等等。