旅途之为企业搭建linux VSFTP Server

浏览数：29 / 时间：2015年06月20日

一、vsftp简介
               vsftp是一个基于GPL发布的类Unix系统上使用的FTP服务器软件，它的全称是Very Secure FTP 从此名称可以看出来，编制者的初衷是代码的安全。安全性是编写vsftp的初衷，除了这与生俱来的安全特性以外，高速与高稳定性也是VSFTP的两个重要特点。在速度方面：使用ASCII代码的模式下载数据时，VSFTP的速度是Wu-FTP的两倍，如果Linux主机使用2.4.*的内核，在千兆以太网上的下载速度可达86MB/S。在稳定方面：VSFTP就更加的出色，VSFTP在单机（非集群）上支持4000个以上的并发用户同时连接，根据RedHat的Ftp服务器()的数据，vsftp服务器可以支持15000个并发用户
               ftp全称:file transfer protocal
               ftp是一种工作于应用层的文件共享服务
                       文件共享服务：
                               ftp    (应用层)
                               nfs    （Network File System--->RPC:Remote procedure Call远程过程调用）
                               samba    （Cifs/smb）
                        ftp连接：
                               命令(控制)连接
                                    port:tcp/21
                                    status:连接建立之后始终在线
                               数据连接
                                    port:
                                        主动模式(Server收到Client的请求之后，主动连接Client) port:tcp/20
                                        被动模式(控制链接建立后，S发送报文给C，包含S已开放的port，之后C主动链接S) port:一般为>5000的随机port
                                    status:连接按需打开/按需关闭
                               ftp数据传输模式：
                                    二进制/文本
                                    自动模式（依据源文件格式定义）
                        ftp server软件：
                                vsftpd --- very secure ftp daemon
                                proftpd
                                wu-ftpd
                                pureftpd
                                Server-u
                                filezilla
                        ftp client软件:
                                CLI:
                                    ftp/lftp
                                GUI:
                                    gftpd/FlashFXP/filezilla

二、vsftpd文件

1、基本文件

                                /etc/vsftpd/vsftpd.conf   主配置文件
                                /etc/init.d/vsftpd   服务脚本
                                /usr/sbin/vsftpd   主程序

                                /var/ftp   vsftpd的主目录，也是ftp用户的家目录(运行ftp的用户一定没有对“/var/ftp”目录的写入权限)
                          基于PAM实现用户认证
                                支持虚拟用户
                                     /etc/pam.d/*
                                     /lib/security/*或/lib64/security/*
                          ftp用户：
                                  匿名用户------->系统用户（通过映射为系统用户）匿名用户用户名：anonymous
                                  虚拟用户------->系统用户（通过映射为系统用户）
                                  系统用户
               2、vsftpd.conf配置文件详解

                          vim /etc/vsftpd/vsftpd.conf
                                   anonymous_enable=YES 允许匿名用户访问
                                   local_enable=YES 允许系统用户访问
                                   write_enable=YES  允许上传
                                   anon_upload_enable=YES  允许匿名用户上传（必须和文件系统权限结合设定）
                                   anon_mkdir_write_enable=YES  定义匿名用户是否可以创建目录
                                   anon_other_write_enable=YES  匿名用户是否可以删除文件
                                   dirmessage_enable=YES     当用户进入目录是否显示欢迎信息（一般定义以“.message”命名的隐藏文件）
                            传输日志：
                                   xferlog_enable=YES   是否启用传输日志功能
                                   xferlog_file=/var/log/xferlog   传输日志文件位置
                                   xferlog_std_format=YES   日志是否使用标准格式
                            文件属主/组
                                   chown_upload=YES   用户上传完文件是否改变文件属主/组
                                   chown_username=whoever   上传之后的文件的属主/组变更为谁
                            链接超时
                                   idle_session_timeout=600   控制链接超时时间
                                   data_connection_timeout=120   数据连接超时时间
                            数据格式
                                   ascii_upload_enable=YES   以文本方式（编码）上传文件
                                   ascii_download_enable=YES   以文本方式（编码）下载文件
                            锁定特定用户家目录
                                   chroot_list_enable=YES   是否定义一个文件锁定用户家目录
                                   chroot_list_file=/etc/vsftpd/chroot_list   创建用户列表。所有在列表中的用户都锁定用户家目录
                            锁定所有用户家目录
                                   #chroot_list_enable=YES
                                   #chroot_list_file=/etc/vsftpd/chroot_list
                                   chroot_local_user=YES
                                   listen=YES   表示vsftpd是否为一个独立守护进程
                                   pam_service_name=vsftpd   定义“/etc/vsftpd”中pam配置文件名字
                            注意：
                                   /etc/vsftpd/ftpusers   所有写在此文件中的用户都禁止访问ftp
                            访问控制
                                   userlist_enable=YES   是否启用/etc/vsftpd/user_list中的用户列表控制登陆
                                   userlist_deny=NO    不拒绝列表中列表中用户登陆，但列表之外的用户都无法登陆

                                   max_clients=#   ftp最大连接数
                                   max_per_ip=#   每ip最多同时有几个链接请求
                            访问带宽限制
                                   anon_max_rate=数值   定义匿名用户的速度
                                   local_max_rate=数值   定义vsftp Server中本地用户的速度
                            如何让用户只能通过某个IP来访问FTP
                                   listen_address=172.24.10.20
                                     Attention:
                                        如何让绑定IP到vsFTPd？也就是说，如何让用户只能通过某个IP来访问FTP。其实这个功能很有意思。如果绑定的是内网的IP，外部是没有办法访问的。如果绑定的是对外服务的IP，内网也只能通过对外服务的IP来访问FTP,在vsftpd.conf中加一行，以我的局域网为例，请看第一帖中的操作环境，这样外网就不能访问我的FTP了，内网也可能通过172.24.10.20来访问FTP；

                                                为被动模式下的连接定义端口范围
                                   pasv_max_port=65535
                                   pasv_min_port=64000

三、为vsftpd调整防火请规则

               iptables -I INPUT -p tcp --dport 20 -j ACCEPT   允许流量通过FTP控制端口
               iptables -I INPUT -p tcp --dport 21 -j ACCEPT   允许流量通过FTP数据端口
               iptables -I INPUT -p tcp --dport 64000:65535 -j ACCEPT   允许被动模式下的连接,其端口范围已经在vsftpd.conf中予以定义

vsftp登陆：
ftp://username@[ServerName/IP]

四、vsftp安全通信方式

ftps:ftp+ssl/tls
sftp:openssl

                            1、创建SSL/TLS证书和私钥：
                                   sudo openssl req -x509 -days 365 -newkey rsa:2048 -nodes -keyout /etc/vsftpd/vsftpd.pem -out /etc/vsftpd/vsftpd.pem
                            2、启用SSL/TLS加密
                                   vim /etc/vsftpd/vsftpd.conf
                                         ssl_enable=YES               启用SSL支持
                                         ssl_tlsv1=YES                启用TLSV1支持
                                         ssl_sslv3=YES                启用SSLV3支持
                                         allow_anon_ssl=NO              匿名用户不使用SSL加密链接
                                         force_local_data_ssl=YES          强制本地数据连接使用SSL加密
                                         force_local_logins_ssl=YES         强制本地登陆使用SSL加密
                                         rsa_cert_file=/etc/vsftpd/vsftpd.pem    证书位置
                                         rsa_private_key_file=/etc/vsftpd/vsftpd.pem 密钥位置