HOME
BLOG
TIME
FRIENDS
SAY TO ME
MOOD
TRAVELING
Linux文件共享三大服务——FTP
2020/08/02 3.3k 13 分钟 点击

文件传输协议(FTP)

  • File Transfer Protocol 早期的三个应用级协议之一
  • 基于C/S结构
  • 双通道协议:数据和命令连接
  • 数据传输格式:二进制(默认)和文本
  • 两种模式:服务器角度
  • 主动(PORT style):服务器主动连接
    • 命令(控制):客户端:随机port — 服务器:tcp21
    • 数据:客户端:随机port+1 —服务器:tcp20
    • 被动(PASV style):客户端主动连接
      • 命令(控制):客户端:随机port — 服务器:tcp21
      • 数据:客户端:随机port+1 —服务器:随机port
  • 服务器被动模式数据端口示例:
    抓包看会显示
    227 Entering Passive Mode (192,168,175,138,224,59)
    公式计算服务器数据端口为:224*256+59

FTP服务

  • 状态码:

    • 1XX:信息 125:数据连接打开
    • 2XX:成功类状态 200:命令OK 230:登录成功
    • 3XX:补充类 331:用户名OK
    • 4XX:客户端错误 425:不能打开数据连接
    • 5XX:服务器错误 530:不能登录
  • 用户认证:

    • 匿名用户:ftp,anonymous,对应Linux用户ftp
    • 系统用户:Linux用户,用户/etc/passwd,密码/etc/shadow
    • 虚拟用户:特定服务的专用用户,独立的用户/密码文件
      nsswitch:network service switch名称解析框架 pam:pluggable authentication module 用户认证
      /lib64/security /etc/pam.d/ /etc/pam.conf

在CentOS7中由vsftpd包提供,不再由xinetd管理

  • 用户认证配置文件:/etc/pam.d/vsftpd
  • 服务脚本: /usr/lib/systemd/system/vsftpd.service
    /etc/rc.d/init.d/vsftpd
  • 配置文件:/etc/vsftpd/vsftpd.conf
    man 5 vsftpd.conf
    格式:option=value
    注意:= 前后不要有空格,否则会有报错
  • 匿名用户(映射为系统用户ftp )共享文件位置:/var/ftp
  • 系统用户共享文件位置:用户家目录
  • 虚拟用户共享文件位置:为其映射的系统用户的家目录

    vsftpd服务配置

  • FTP服务器的端口:
    • 命令端口
      listen_port=21
    • 主动模式端口
      在配置文件/etc/vsftpd/vsftpd.conf中
      connect_from_port_20=YES 主动模式端口为20
      ftp_data_port=20 指定主动模式的端口
    • 被动模式端口范围
      linux客户端默认使用被动模式
      windows 客户端默认使用主动模式
      pasv_min_port=6000 0为随机分配
      pasv_max_port=6010
  • 使用当地时间
    use_localtime=YES 使用当地时间(默认为NO,使用GMT)
  • 匿名用户
    • anonymous_enable=YES 支持匿名用户
    • no_anon_password=YES(默认NO) 匿名用户略过口令检查
    • anon_world_readable_only (默认YES)只能下载全部读的文件
    • anon_upload_enable=YES 匿名上传,注意:文件系统权限
    • anon_mkdir_write_enable=YES
      • anon_other_write_enable=YES 可删除和修改上传的文件 anon_umask=077 指定匿名上传umask
      • 指定上传文件的默认的所有者和权限
        • chown_uploads=YES(默认NO)
        • chown_username=wang
        • chown_upload_mode=0644
  • Linux系统用户
    • guest_enable=YES 所有系统用户都映射成guest用户
    • guest_username=ftp 配合上面选项才生效,指定guest用户
    • local_enable=YES 是否允许linux用户登录
    • write_enable-YES 允许linux用户上传文件
    • local_umask=022 指定系统用户上传文件的默认权限
    • local_root=/ftproot 非匿名用户登录所在目录
    • 禁锢所有系统用户在家目录中
      • chroot_local_user=YES(默认NO,不禁锢)禁锢系统用户
    • 禁锢或不禁锢特定的系统用户在家目录中,与上面设置功能相反
      • chroot_list_enable=YES
      • chroot_list_file=/etc/vsftpd/chroot_list
      • 当chroot_local_user=YES时,则chroot_list中用户不禁锢
      • 当chroot_local_user=NO时,则chroot_list中用户禁锢

用户的根目录不能有写权限,否则会无法登陆。只能在根目录下创建子文件夹给写权限。
报错:500 OOPS: vsftpd: refusing to run with writable root inside chroot()
Login failed.

  • wu-ftp日志:默认启用

    • xferlog_enable=YES (默认)启用记录上传下载日志
    • xferlog_std_format=YES (默认)使用wu-ftp日志格式
    • xferlog_file=/var/log/xferlog (默认)可自动生成
  • vsftpd日志:默认不启用

    • dual_log_enable=YES 使用vsftpd日志格式,默认不启用
    • vsftpd_log_file=/var/log/vsftpd.log(默认)可自动生成
  • 登录提示信息

    • ftpd_banner=“welcome to mage ftp server”
    • banner_file=/etc/vsftpd/ftpbanner.txt 优先上面项生效
  • 目录访问提示信息

    • dirmessage_enable=YES (默认)
    • message_file=.message(默认)信息存放在指定目录下.message
  • 使用pam(Pluggable Authentication Modules)完成用户认证

    • pam_service_name=vsftpd
    • pam配置文件:/etc/pam.d/vsftpd
    • /etc/vsftpd/ftpusers 默认文件中用户拒绝登录
  • 是否启用控制用户登录的列表文件

    • userlist_enable=YES 默认有此设置
    • userlist_deny=YES(默认值)黑名单,不提示口令,NO为白名单
    • userlist_file=/etc/vsftpd/users_list 此为默认值
  • 连接限制

    • max_clients=0 最大并发连接数
    • max_per_ip=0 每个IP同时发起的最大连接数
  • vsftpd服务指定用户身份运行

    • nopriv_user=nobody
  • 传输速率:字节/秒

    • anon_max_rate=0 匿名用户的最大传输速率
    • local_max_rate=0 本地用户的最大传输速率
  • 连接时间:秒为单位

    • connect_timeout=60 主动模式数据连接超时时长
    • accept_timeout=60 被动模式数据连接超时时长
    • data_connection_timeout=300 数据连接无数据输超时时长
    • idle_session_timeout=60 无命令操作超时时长
  • 优先以文本方式传输 (不推荐使用)

    • ascii_upload_enable=YES
    • ascii_download_enable=YES
  • 配置FTP服务以非独立服务方运行:listen=NO,默认为独立方式
    vim /etc/vsftpd/vsftpd.comf
    listen=NO
    vim /etc/xinetd.d/vsftpd

    service ftp { 
      flags    = REUSE
      socket_type    =    stream
      wait        =    no
      user        =    root
      server    =    /usr/sbin/vsftpd
      log_on_failure += USERID 
      disable = no 
    } 

    实现基于SSL的FTPS

  • 查看是否支持SSL

    • ldd which vsftpd 查看到libssl.so
  • 创建自签名证书

    • cd /etc/pki/tls/certs/
    • make vsftpd.pem
    • openssl x509 -in vsftpd.pem -noout –text
  • 配置vsftpd服务支持SSL:/etc/vsftpd/vsftpd.conf

    • ssl_enable=YES 启用SSL
    • allow_anon_ssl=NO 匿名不支持SSL
    • force_local_logins_ssl=YES 本地用户登录加密
    • force_local_data_ssl=YES 本地用户数据传输加密
    • rsa_cert_file=/etc/pki/tls/certs/vsftpd.pem
      vim /etc/vsftpd/vsftpd.conf
      allow_anon_ssl=NO 匿名不支持SSL
      force_local_logins_ssl=YES 本地用户登录加密
      force_local_data_ssl=YES 本地用户数据传输加密
      rsa_cert_file=/etc/pki/tls/certs/vsftpd.pem
      借助yum install -y mod_ssl
      进入/etc/pki/tls
      cat certs/localhost.crt private/localhost.key > certs/vsftpd.pem
  • 用filezilla等工具测试

vsftpd虚拟用户

  • 虚拟用户:
    所有虚拟用户会统一映射为一个指定的系统帐号:访问共享位置,即为此系统帐号的家目录
    各虚拟用户可被赋予不同的访问权限,通过匿名用户的权限控制参数进行指定

  • 虚拟用户帐号的存储方式:

    • 文件:编辑文本文件,此文件需要被编码为hash格式
      奇数行为用户名,偶数行为密码
      使用db_load -T -t hash -f vusers.txt vusers.db命令来生成数据库
      如果没有db_load命令安装包
      yum install libdb-utils
    • 关系型数据库中的表中: 实时查询数据库完成用户认证
    • mysql库:pam要依赖于pam-mysql
      /lib64/security/pam_mysql.so
      /usr/share/doc/pam_mysql-0.7/README

实现基于文件验证的vsftpd虚拟用户

一、创建用户数据库文件
• vim /etc/vsftpd/vusers.txt
ftp1
1
ftp2
2
• cd /etc/vsftpd/
进行加密
• db_load -T -t hash -f vusers.txt vusers.db
• chmod 600 vusers.*

二、创建用户和访问FTP目录
• useradd -d /var/ftproot -s /sbin/nologin vuser
• chmod +rx /var/ftproot/
• centos7 还需要执行以下操作:
• chmod -w /var/ftproot/
• mkdir /var/ftproot/upload
• setfacl -m u:vuser:rwx /var/ftproot/upload

三、创建pam配置文件
• vim /etc/pam.d/vsftpd.db
auth required pam_userdb.so db=/etc/vsftpd/vusers
account required pam_userdb.so db=/etc/vsftpd/vusers
四、指定pam配置文件
• vim /etc/vsftpd/vsftpd.conf
guest_enable=YES
guest_username=vuser
pam_service_name=vsftpd.db
五、SELinux设置:
禁用SELinux 或者 setsebool -P ftpd_full_access 1

六、虚拟用户建立独立的配置文件
mdkir /etc/vsftpd/vusers.d/ 创建配置文件存放的路径
vim /etc/vsftpd/vsftpd.conf
user_config_dir=/etc/vsftpd/vusers.d/
cd /etc/vsftpd/vusers.d/ 进入此目录
允许ftp1用户可读写,其它用户只读
vim ftp1 创建各用户自已的配置文件
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_other_write_enable=YES
vim mage 创建各用户自已的配置文件
local_root=/ftproot 登录目录改变至指定的目录

七、报错
500 OOPS: bad bool value in config file for: anon_mkdir_write_enable
Login failed.
421 Service not available, remote server has closed connection
在利用虚拟用户登录时出现这种错误,是因为用户配置文件中行末尾有空格。

实现基于MYSQL验证的vsftpd虚拟用户

说明:本实验在两台CentOS主机上实现,一台做为FTP服务器,一台做数据库服务器
一、安装所需要包和包组:
在数据库服务器上安装包:
• Centos7:在数据库服务器上安装
yum –y install mariadb-server
systemctl start mariadb.service
systemctl enable mariadb
• Centos6:在数据库服务器上安装
yum –y install mysql-server

在FTP服务器上安装vsftpd和pam_mysql包
centos6:pam_mysql由epel6的源中提供
yum install vsftpd pam_mysql
centos7:无对应rpm包,需手动编译安装
yum -y groupinstall “Development Tools”
yum -y install mariadb-devel pam-devel vsftpd
下载pam_mysql-0.7RC1.tar.gz
wget https://sourceforge.net/projects/pam-mysql/files/latest/download
mv download pam_mysql-0.7RC1.tar.gz
tar xvf pam_mysql-0.7RC1.tar.gz
cd pam_mysql-0.7RC1/
./configure –with-mysql=/usr –with-pam=/usr –with-pam-mods-dir=/lib64/security
make && make install

二、在数据库服务器上创建虚拟用户账号
• 1.建立存储虚拟用户数据库和连接的数据库用户
mysql> CREATE DATABASE vsftpd;
mysql> SHOW DATABASES;
ftp服务和mysql不在同一主机:
mysql> GRANT SELECT ON vsftpd.* TO vsftpd@‘FTP服务器IP地址段’ IDENTIFIED BY ‘密码’;
ftp服务和mysql在同一主机:
mysql> GRANT SELECT ON vsftpd.* TO vsftpd@localhost IDENTIFIED BY ‘密码’;
mysql> GRANT SELECT ON vsftpd.* TO vsftpd@’127.0.0.1’ IDENTIFIED BY ‘密码’;
mysql> FLUSH PRIVILEGES;
• 2.准备相关表
mysql> USE vsftpd;
Mysql> SHOW TABLES;
mysql> CREATE TABLE users (id INT AUTO_INCREMENT NOT NULL PRIMARY KEY,name CHAR(50) BINARY NOT NULL,password CHAR(48) BINARY NOT NULL);
mysql>DESC users;
测试连接
在FTP服务器上
mysql -uvsftpd -h数据库IP -p密码
mysql> SHOW DATABASES;
• 3.添加虚拟用户
根据需要添加所需要的用户,为了安全应该使用PASSWORD函数加密其密码后存储
mysql>DESC users;
mysql> INSERT INTO users(name,password) values(‘PP’,password(‘1’));
mysql> INSERT INTO users(name,password) values(‘CC’,password(‘1’));
mysql> SELECT * FROM users;
• 4.授权
mysql> grant all on vsftpd.* to vsftpd@’192.168.1.%’ identified by ‘1’;

三、在FTP服务器上配置vsftpd服务
• 1.在FTP服务器上建立pam认证所需文件
vi /etc/pam.d/vsftpd.mysql 添加如下两行
auth required pam_mysql.so user=vsftpd passwd=1 host=数据库IP db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2

account required pam_mysql.so user=vsftpd passwd=1 host=数据库IP db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2
注意:参考README文档,选择正确的加密方式
crypt是加密方式,0表示不加密,1表示crypt(3)加密,2表示 使用mysql password()函数加密,3表示md5加密,4表示sha1加密

  • auth 表示认证

  • account 验证账号密码正常使用

  • required 表示认证要通过

  • pam_mysql.so模块是默认的相对路径,是相对/lib64/security/路 径而言,也可以写绝对路径;后面为给此模块传递的参数

  • user=vsftpd为登录mysql的用户

  • passwd=magedu 登录mysql的的密码

  • host=mysqlserver mysql服务器的主机名或ip地址

  • db=vsftpd 指定连接msyql的数据库名称

  • table=users 指定连接数据库中的表名

  • usercolumn=name 当做用户名的字段

  • passwdcolumn=password 当做用户名字段的密码

  • crypt=2 密码的加密方式为mysql password()函数加密

• 2.建立相应用户和修改vsftpd配置文件,使其适应mysql认证 建立虚拟用户映射的系统用户及对应的目录
useradd -s /sbin/nologin -d /var/ftproot vuser
chmod 555 /var/ftproot centos7 需除去ftp根目录的写权限
mkdir /var/ftproot/{upload,pub}
setfacl –m u:vuser:rwx /var/ftproot/upload
确保/etc/vsftpd/vsftpd.conf中已经启用了以下选项
anonymous_enable=YES
添加下面两项
guest_enable=YES
guest_username=vuser
修改下面一项,原系统用户无法登录
pam_service_name=vsftpd.mysql

四、启动vsftpd服务
service vsftpd start; systemctl start vsftpd
chkconfig vsftpd on;systemctl enable vsftpd
查看端口开启情况
netstat -tnlp |grep :21
五、Selinux相关设置:在FTP服务器上执行
• restorecon -R /lib64/security
• setsebool -P ftpd_connect_db 1
• setsebool -P ftp_home_dir 1
• chcon -R -t public_content_rw_t /var/ftproot/
六、测试:利用FTP客户端工具,以虚拟用户登录验证结果
• tail /var/log/secure

七、在FTP服务器上配置虚拟用户具有不同的访问权限
vsftpd可以在配置文件目录中为每个用户提供单独的配置文件以 定义其ftp服务访问权限,每个虚拟用户的配置文件名同虚拟用 户的用户名。配置文件目录可以是任意未使用目录,只需要在 vsftpd.conf指定其路径及名称即可
• 1、配置vsftpd为虚拟用户使用配置文件目录
vim /etc/vsftpd/vsftpd.conf
添加如下选项
user_config_dir=/etc/vsftpd/vusers_config
• 2、创建所需要目录,并为虚拟用户提供配置文件
mkdir /etc/vsftpd/vusers_config/
cd /etc/vsftpd/vusers_config/
touch wang mage
• 3、配置虚拟用户的访问权限
虚拟用户对vsftpd服务的访问权限是通过匿名用户的相关 指令进行的。如果需要让用户wang具有上传文件的权限,可以修改/etc/vsftpd/vusers_config/wang文件,在里面添加如下 选项并设置为YES即可,只读则设为NO
注意:需确保对应的映射用户对于文件系统有写权限
anon_upload_enable={YES|NO}
anon_mkdir_write_enable={YES|NO}
anon_other_write_enable={YES|NO}
local_root=/ftproot 登录目录改变至指定的目录

运维基础服务