FTP服务器介绍和配置

原文地址：http://www.178linux.com/4450

一、 ftp服务，File Transfer Protocal 文件传输协议 

    1. ftp基于tcp协议，C/S架构 

        Server: wu-ftpd， proftpd ，pureftp，vsftpd:（Very Secure ftpd），IIS，ServU

        Client:

            GUI： flashfxp，cuteftp，filezilla(开源)， gftp(Linux)

            CLI：ftp， lftp，wget， lftpget

    2. ftp的传输机制

            1） 命令连接和数据传输连接

 

  最开始，只建立命令连接，当执行get命令时，开启另一端口建立文件传输连接，如果get多个文件，则建立多个连接。文件传输结束时，拆除相应的文件连接。 

            2） 数据连接的主动模式和被动模式 

                 

主动连接：通常客户端会装有防火墙，不允许别人主动对客户端发起连接

被动连接：可以通过服务器端连接追踪机制来解决防火墙问题，无论访问哪个端口，端口必须和已经建立的链接产生关系。 

            主动模式下： 服务器工作在20号端口 

            被动模式下： 服务器工作在随机端口  

    3. 传输数据： 

            流式话数据： 可以存入硬盘

                                文本文件， 二进制文件 等

    

    4. 用户认证机制： 

        1） 系统用户

        2） 虚拟用户。通常存放在文件或者数据库中

                hash file 

                mysql 

        3） 匿名用户 

    5. 数据传输安全机制： 

        sftp ：ssh提供基于ssh协议的ftp服务

        ftps ：基于ssl的ftp 

    7. 响应码 

            1xx：信息码 

            2xx：成功状态吗 

            3xx：进一步提示补全信息的状态 

            4xx：客户端错误

            5xx：服务器端错误

二、 vsftpd 安装和配置 

     1. 安装vsftpd 

# yum -y install vsftpd

      2. 重要的目录

    /etc/pam.d/vsftpd              认证文件存放目录        /etc/rc.d/init.d/vsftpd        服务脚本    /usr/sbin/vsftpd               主程序文件     /etc/vsftpd/vsftpd.conf        主配置文件     /etc/vsftpd/ftpusers           用户黑名单    /etc/vsftpd/user_list         用户限制名单 userlist_deny=NO 仅允许此名单用户登录，userlist_deny=YES    不允许用户名单的用户登录    /var/ftp/pub                   共享文件所在位置

      3.  关于pam的认证文件

 ## 文件所在位置/etc/pam.d/vsftpd 关于认证文件         pam: Plugable Authentication Module: 插件式认证模块             1） nsswitch: 名称解析框架                 模块： /lib64/libnss* , /usr/lib64/libnss*                 配置文件： /etc/nsswitch.conf             2) 用户认证框架                 模块化：/lib64/security/pam*.so                 配置文件：/etc/pam.conf 和 /etc/pam.d/*

       4. chroot选项 

    ## 对于ftp用户访问ftp服务时使用chroot禁锢用户     ## 在主配置文件/etc/vsftpd/vsftpd.conf中配置启动        chroot_local_user=YES                       对于本地用户使用chroot, 将会把其家目录作为其root目录         chroot_list_enable=YES                      chroot_list里面的用户不受chroot影响         chroot_list_file=/etc/vsftpd/chroot_list    不受chroot指令的例外用户列表，需要手动添加，每行一个用户名。如果没有这个文件链接会失败

 chroot开启前效果 

                                        

ftp登录用户可以进入系统根目录

chroot开启后效果 

                                       

开启后，用户的家目录被当做root了

        5. 关于匿名用户的配置 

    anonymous_enable=YES                    允许匿名用户登录         anon_upload_enable=YES                  允许匿名用户上传文件    anon_other_write_enable=YES             允许匿名用户执行其他写权限     anon_mkdir_write_enable=YES             允许匿名用户创建文件夹      ## 此时的权限为ftp用户配置的权限叠加文件本身权限总和的效果     ## 如果文件本身权限不允许其他用户修改，基本vsftpd.conf配置了匿名用户可修改，结果依然不能修改     ## 文件夹也一样，如果想要允许匿名用于在pub上传文件，需要将其other权限添加+w

 

          6. vsftp 控制登录用户的机制 

    ## /etc/vsftpd/ftpusers中的用户都不允许使用ftp服务, 这是在/etc/pam.d/vsftpd中定义；/etc/pam.d/vsftpd 中应该有如下一行                auth       required     pam_listfile.so item=user sense=deny file=/etc/vsftpd/ftpusers onerr=succeed    ## /etc/vsftpd/user_list文件两种配置方法                ## 黑名单：        userlist_enable=YES        userlist_deny=YES        ## 白名单        userlist_enable=YES        userlist_deny=NO

          7. 链接限制

        max_clients: 最大并发连接数                max_per_ip: 每IP可同时发起并发请求

          8. 传输速率 

        anon_max_rate: 匿名用户的最大传输速率，单位是“字节/秒”                local_max_rate: 本地用户最大传输速率， 单位是“字节/秒”

          9. 匿名用户上传的文件自动转换属主和属组 

        chown_uploads=YES        chown_username=someuser  ## 使用特定用户作为上传的文件的属主，并使用其所在的组当做属组

       10. 上传文件的umask 

        anno_umask: 匿名用户上传文件的umask;         local_umask:

      11. 欢迎信息  

        banner_file=/path/to/some_banner_file                ftp_banner=some string        dirmessage_enable=yes ## 需要在某ftp可访问的目录下创建.messages文件

      12. 虚拟用户： 所有虚拟用户都会被映射为一个系统用户， 访问时文件目录为此系统用户的家目录 

                  虚拟用户认证机制： hash编码的文件，奇数行为用户名，偶数行尾秘密

                  关系型数据库： pam-mysql第三方模块认证 

三、 详解配置虚拟用户 

    1. 安装mysql和pam_mysql(epel源提供) 

# yum -y install vsftpd mysql-server mysql-devel pam_mysql

  2. 创建虚拟用户账号所映射的系统用户 

    # useradd -s /sbin/nologin -d /var/ftproot vuser         # chmod go+rx /var/ftproot

    3. 在数据库中添加虚拟用户

    mysql> create database vsftpd;        mysql> grant select on vsftpd.* to vsftpd@192.168.98.128 identified by 'vsftpd';    mysql> flush privileges;    mysql> insert into users(name,password) values('tom',password('tom'));    mysql> insert into users(name,password) values('jerry',password('jerry'));

     4. 配置pam认的配置文件

    auth required /lib/security/pam_mysql.so user=vsftpd passwd=vsftpd host=192.168.98.128 db=vsftpd     table=users usercolumn=name passwdcolumn=password crypt=2        account required /lib/security/pam_mysql.so user=vsftpd passwd=vsftpd host=192.168.98.128     db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2     ## 这里说明一下，host是vsftpd所在主机的主机地址，同时也是在mysql中被授权访问的主机地址。vsftpd会通过借助pam访问数据库获取数据。    ## 而vsftpd所在的主机为192.168.98.128，这里的host也是这个。 如果把vsftpd放在其他主机上与数据库分开管理也是可以的。     ## crypt 加密方式    ##  0 明文    ##  1 Y     ##  2 为mysql中的password()函数加密     ##  3 md5    ##  4 sha1

     5. 配置vsftpd配置文件

    ## 主要添加下面三行            # vim /etc/vsftpd/vsfptd.conf         guest_enable=YES                    ## 允许使用虚拟用户        guest_username=vuser                ## 虚拟用户映射为vuser系统用户        pam_service_name=vsftpd.mysql       ## pam配置文件位置为/etc/pam.d/vsftpd.mysql      ## 下面是一些vsftpd的基本选项         anonymous_enable=YES        local_enable=YES        write_enable=YES        anon_upload_enable=NO        anon_mkdir_write_enable=NO        chroot_local_user=YES     ## 另外每个虚拟用户的单独权限可以在 /etc/vsftpd/vuser/ 配置        例如：        # vim /etc/vsftpd/vuser/tom  写下一下几行        anon_upload_enable=YES        anon_mkdir_write_enable=YES

  

      6. 重启vsftpd服务，测试效果 

    # service vsftpd restart         在另一个台主机上     # ftp 192.168.98.128         Connected to 192.168.98.128 (192.168.98.128).        220 (vsFTPd 2.2.2)        Name (192.168.98.128:root): tom        331 Please specify the password.        Password:        230 Login successful.        Remote system type is UNIX.        Using binary mode to transfer files.        ftp>     测试成功。

        7. 常见的不能正常认证的错误 

            1） iptables 忘记关，selinux没有disable ：此时通常的错误是数据库无法访问 

            2） 虚拟用户无法认证： 有可能是加密方式没有设置统一 

            3） 数据库没法连接， 数据库访问的用户和主机要和pam文件的用户主机统一，一定要明确，是vsftpd借助pam访问数据库，而不是ftp客户端访问数据库。我在这里被坑了好几天。