linux系统搭建ftp服务器

admin

linux系统搭建tftp服务器
- V' D$ ^5 I9 j% ]- \! S检查vsftpd是否安装了：
/ S' I+ @7 o6 r4 f" r$ ?rpm -qa |grep vsftpd
/ _- k4 ], ?" N3 r: k7 u
, p7 O# W: q# n: f安装vsftpd服务
yum install -y vsftpd

ftp

7 |0 P( ]/ O# K" i6 P) ^: G

ftp的配置文件主要有三个，位于/etc/vsftpd/目录下，分别是：

% w$ n: U2 C  ~1 I3 t

ftpusers 该文件用来指定哪些用户不能访问ftp服务器。user_list 该文件用来指示的默认账户在默认情况下也不能访问ftpvsftpd.conf vsftpd的主配置文件

: j  U" ^$ U& {( N: Q1 r$ x+ |( `
& k5 R9 P. O% m1 K( q; q

/ b# m  a, t8 G- x6 b/ U

以匿名用户登录
0 g2 o2 A9 J  c$ ]- a: G我们去掉配置文件vsftpd.conf 里面以下
anon_upload_enable=YES
7 k; K$ H$ R$ l$ Tanon_mkdir_write_enable=YES
* p7 A5 j! h( J4 n1 p) u两项前面的#号，就可以完成匿名用户的配置，此时匿名用户既可以登录上传、下载文件。记得修改配置文件后需要重启服务。
5 W7 x* \/ @8 y% l5 C
非匿名账户的创建与使用
vsftpd服务与系统用户是相互关联的，例如我们创建一个名为admin
7 K% h+ q1 m# _6 |/ N

useradd -d /home/admin/ -s /sbin/nologin admin   

chmod

755 /home/admin/
8 m  x/ w; P9 T8 m5 {

chown -R admin.admin /home/admin/

8 l3 i; W1 ]# G& c8 _$ k! U
* f) L$ d: I  i6 [- s

• 注意：这个 ftpvuser 是 linux 系统用户，用于映射 ftp 虚拟用户，只需要创建一次
  . Q; O. g4 q: R$ h" J% b

启动vsftpd服务：
8 S: l6 P2 A* t0 Y% R[root@controller ~]# systemctl start  vsftpd.service
/ Y6 B0 V; B5 f2 \% H查看状态：
4 Z" e' U" p, r. B[root@controller ~]# systemctl status  vsftpd.service
● vsftpd.service - Vsftpd ftp daemon
1 ^- C$ v4 Z5 S: l   Loaded: loaded (/usr/lib/systemd/system/vsftpd.service; disabled; vendor preset: disabled)
8 P! y/ ^0 }/ G* R, w( |   Active: active (running) since Wed 2022-04-13 05:48:41 CST; 22s ago
  Process: 1994 ExecStart=/usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf (code=exited, status=0/SUCCESS)
% J; O0 D8 l5 e0 ? Main PID: 1995 (vsftpd)
   CGroup: /system.slice/vsftpd.service
( Q8 e  |1 X: }3 z  f           └─1995 /usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf
/ g9 _0 t# B; K! q& u" YApr 13 05:48:41 controller systemd[1]: Starting Vsftpd ftp daemon...
Apr 13 05:48:41 controller systemd[1]: Started Vsftpd ftp daemon.
) P4 `, h" S7 n, E( O. M' @" F

2 G1 a0 S8 s) }开始连接


0 x5 R0 W5 G  b

6 A5 \5 I! w% E

admin

配置 vsftpd 的操作日志
$ ]9 Q% [+ l; ?8 T+ I从xferlog可以查看到用户上传下载等的操作记录，删除不会显示
vim /etc/logrotate.d/vsftpd
2 v3 X2 a* C9 T: m( x3 y--------------------------------
! v. o& A1 d7 U$ F0 Q/var/log/vsftpd.log {
    # ftpd doesn't handle SIGHUP properly
0 q  Z$ X: l/ ?. i2 @2 y9 F    nocompress
    missingok
}
" o8 _3 W) G6 _# M/var/log/xferlog {
( h5 e9 a& \6 O! \# C8 j) R    # ftpd doesn't handle SIGHUP properly
9 _% C6 x6 F- P) v9 r, B% S/ w    nocompress
- F9 A9 N; Y( S5 D+ {, t    missingok
# c0 l5 E& {/ S; @) F}
5 C* _4 E* D- j% S2 `1 g--------------------------------
tail -f /var/log/xferlog

admin

添加文件：
vim /etc/vsftpd/chroot_list
admin

admin

3.使用系统用户访问 FTP 服务器
3.1.修改配置文件并重启服务
; [5 [% y/ u* o! Rvim /etc/vsftpd/vsftpd.conf
! C1 P# `2 j" Q1 ?: `1 ]-------------------------------
0 f- X) w4 i4 I6 Kanonymous_enable=NO
8 c3 m2 Z2 E5 l! E4 }, _9 D/ P# _local_enable=YES
, E; {$ c# p6 c6 D" P% n" _write_enable=YES
local_umask=022
chroot_local_user=YES
$ k( ~& C  h' H. S4 t9 zuserlist_enable=YES
1 |  J- J; V3 d* y! buserlist_deny=NO                       
userlist_file=/etc/vsftpd/user_list
/ D! Y0 a5 _* F9 \- e* b& J$ ipam_service_name=vsftpd
tcp_wrappers= YES
$ {* R( \: ~+ V-------------------------------
systemctl restart vsftpd
$ W) w: ?1 W- l5 w% ?8 k. p- B( Lsystemctl status vsftpd
配置注解：
anonymous_enable=NO                         # 修改，禁止匿名用户登录
local_enable=YES                      # 默认启用，允许本地用户登录，虚拟用户需要映射到本地用户才可以使用
write_enable=YES                      # 默认启用，本地用户开放写权限
#local_umask=022                      # 注释掉，本地用户创建的文件的权限反码022，创建的文件为644
+ V  M, X) b: X* z- pchroot_local_user=YES                     # 默认启用，将本地用户锁定在自己的家目录中
userlist_enable=YES                      # 是否启用用户控制列表，默认启用
userlist_deny=NO                      # 指定用户控制列表的作用，默认为 YES，表示该文件内的用户列表禁止登录FTP服务器，这里修改为 NO，作为授权访问的用户列表使用
* D8 K/ l% d1 {/ h) E$ euserlist_file=/etc/vsftpd/user_list         # 指定用户控制列表的文件名
anon_umask=022                       # 增加，匿名用户新增文件的umask数值。默认值为077，需要修改为022，否则上传后的文件为600
dirmessage_enable=YES                     # 设置切换到目录时显 示message 隐含文件的内容
1 ~9 e$ H, Z5 L; p* Mxferlog_enable= YES                      # 激活上传和下载日志
/ I1 b; l" z0 c# u( a1 kconnect_from_port_20= YES                 # 启用FTP数据端口连接
pam_service_name=vsftpd                     # 设置PAM认证服务的配置文件名称,  该文件存放在/etc/pam.d目录下
- [8 B% V3 m  O& D9 X2 V2 @listen= YES                           # 是否使用独占启动方式
* B$ ~7 t+ n  d$ a* B2 b0 Qtcp_wrappers= YES                      # 使用防火墙
#file_open_mode=0755
pasv_min_port=50000                         # 被动模式下的最小端口
) L1 ~7 A+ M# J6 zpasv_max_port=60000                         # 被动模式下的最大端口
# 设置连接服务器后的欢迎信息
ftpd_banner=welcome to ftp service.
banner_file=/etc/vsftpd/vsftpd_banner_file
配置建议：
9 }9 E' @8 [) [8 Q8 suserlist_deny=NO ，这里设置为NO，做为允许登陆的用户列表，可以手动指定允许登录 ftp 的用户，比较实用，如果设置为YES，作为禁止登录 ftp 的用户列表，与 ftpusers 功能重复，没有必要
vsftpd 的配置文件列表
4 v, q. r. X8 a& G7 W; o4 g/etc/vsftpd/vsftpd.conf     # 主配置文件
' {: O# A* T. G/etc/vsftpd/ftpusers  # FTP限制访问的用户，里面是一些系统用户，默认不允许访问，防止被入侵，一般不需要修改
/etc/vsftpd/user_list      # 授权用户列表，可以控制哪些用户可以访问或者禁止访问，我一般配置为允许访问 ftp 的用户列表
特别注意：
1）vsftpd.conf 文件中每个选项设置为一行，格式为“option=value”，“=”号两边不能留空白符
' G7 X& G! g8 P3.2.创建测试用的本地用户
useradd zhaoshuai
passwd zhaoshuai
创建测试用的文件和目录
[root@srv05-CT75 vsftpd]# touch /home/zhaoshuai/aaa.txt
[root@srv05-CT75 vsftpd]# mkdir -p /home/zhaoshuai/bbb
[root@srv05-CT75 vsftpd]# ll /home/zhaoshuai/         
. v" t$ |5 p$ z+ Ptotal 4
( F, Q' |! m! @( J% c-rw-r--r-- 1 root root    0 Jun 19 02:18 aaa.txt
drwxr-xr-x 2 root root 4096 Jun 19 02:18 bbb
3.3.修改授权的本地用户列表
; u" F# U( G" B- a  yftpusers 禁止登录 ftp 服务器的用户列表，一般是系统用户不需要修改，可以增加
vim /etc/vsftpd/ftpusers
. }2 @/ Y2 `, O! t, a-------------------------------
0 K4 f9 v: E+ Q- y! F+ Q  Mroot
& ^7 ^0 w) W' E' Bbin
, c( A9 \8 ^6 z; w! Pdaemon
adm
" W: k# N5 p+ N( qlp
sync
shutdown
5 g1 h' S; j0 |& e4 a+ O. o/ w( qhalt
0 z" g% O+ J, \3 F+ f( ]0 n, lmail
news
uucp
operator
games
nobody
) S" b1 y: H7 ?% B! P: q8 m-------------------------------
# j' L" r, \! euser_list 允许登陆 ftp 服务器的用户列表
* m; B$ [9 l$ R$ q. V4 Vvim /etc/vsftpd/user_list
-------------------------------
- f2 K8 [0 ?  S' Xzhaoshuai
-------------------------------
备注：以上两个文件修改完不需要重启 vsftpd 服务
3.4.使用本地用户登陆测试
ftp 127.0.0.1
实例演示：
$ D0 \  X8 I4 t* }7 F[root@srv05-CT75 pam.d]# ftp 127.0.0.1              
, F3 h2 c( o* y% _# eConnected to 127.0.0.1 (127.0.0.1).
8 c6 X' S8 K+ y7 v2 r# ]# H220 (vsFTPd 3.0.2)
2 P+ Y8 o8 `$ M& W( c6 iName (127.0.0.1:root): zhaoshuai
6 c) U! g* [8 f; D; t' I- p331 Please specify the password.
Password:
230 Login successful.
7 S/ s  Z' s' j! ~0 ORemote system type is UNIX.
* H8 L  S: x: [3 s+ R% W' MUsing binary mode to transfer files.
1 J2 u7 I: ~+ `ftp>
) q! |' f6 l6 Dftp>
ftp> ls
227 Entering Passive Mode (127,0,0,1,94,91).
150 Here comes the directory listing.
# t" w7 A4 N# a" r; m, @- Z-rw-r--r--    1 0        0               0 Jun 18 18:18 aaa.txt
drwxr-xr-x    2 0        0            4096 Jun 18 18:18 bbb
226 Directory send OK.
2 [' ]) I3 G9 \1 R2 e) wftp> exit
1 N  s# N( f! }, f0 S% t221 Goodbye.
如果要使用 xftp 等图形工具，需要选择主动模式
对于阿里云，青云等云平台的虚拟机，需要考虑安全组：允许20,21端口的接入请求
阿里云配置nat网关的端口转发可以通过公网连接，或者直接绑定EIP，青云需要直接绑定EIP进行公网连接
  p8 C6 T9 I% S6 I1 M! D  Z9 Y/ T阿里云和青云都无法通过负载均衡的端口转发提供ftp服务的访问，因为经过了他们内部的路由转发，无法直接找到对应的主机，总之ftp需要直连服务器才行
回到顶部
8 s4 P3 p% h8 i7 D4.使用虚拟用户访问 FTP 服务器
ftp配置为匿名访问显然是不安全也不便于管理的，另外，单纯使用系统用户的 ftp 也较难管理，通常情况下是使用一个系统用户作为ftp用户登陆ftp服务器的代理用户进行管理
4.1.修改vsftpd.conf 文件，重启服务
cd /etc/vsftpd/
8 P6 J! D/ J( w9 `$ _& c0 h$ _+ svim vsftpd.conf
( v5 e5 b9 |0 N  c. t1 W0 k----------------------------------------
3 G/ [+ G( z3 r8 M6 h9 ?% |anonymous_enable=NO
1 _  r9 U- s4 f- Vlocal_enable=YES
write_enable=YES
#local_umask=022
, b8 E$ z! `% e; j4 j1 b/ b' Z0 Schroot_local_user=YES
- p  o6 D  l! M" Uuserlist_enable=YES
userlist_deny=NO
userlist_file=/etc/vsftpd/user_list
2 Y- U$ m4 q. J- e6 J2 O' r8 S& wchroot_local_user=YES
# made for virtual user
guest_enable=YES
, s& V+ E: b, c/ i2 \$ Nguest_username=ftpvuser
pam_service_name=/etc/pam.d/ftpvuser.pam
) b) ^! U+ ]0 `5 L0 G+ F2 A# vuser_config_dir=/etc/vsftpd/vuser.d
anon_umask=022
-------------------------------------
; z1 a/ U" O+ @6 b, C& Isystemctl restart vsftpd
systemctl status vsftpd
配置注解：
guest_enable=YES                   # 增加，启用虚拟用户模式
guest_username=ftpvuser                  # 增加，配置虚拟用户映射到的本地用户名
- ]5 R6 D) S" _( k0 e1 f, R# g8 Ppam_service_name=/etc/pam.d/ftpvuser.pam # 修改，配置虚拟用户的认证方式
9 ?0 `7 A. ?* Y! S& Cuser_config_dir=/etc/vsftpd/vuser.d         # 增加，虚拟用户的配置文件目录
注意：
1）除了主配置文件外，还可以给特定用户设定个人配置文件
2）虚拟用户默认可以读写，访问时映射为本地用户，所以需要启用对本地用户的控制
3）实际的访问权限可由用户独立的配置文件进行单独控制
( z: J( e) u( V  r+ w4.2.设置 ftp 虚拟用户的验证授权方式
# T+ N, j' c) J7 K1）创建虚拟用户的秘钥文件
mkdir -p /etc/vsftpd/vuser.d
cd /etc/vsftpd/vuser.d
4 D, o0 S0 k# e3 btouch vuser.list
2）加密虚拟用户的秘钥文件
# v# H4 [; ]0 D" `; S8 D: Z# 使用 db_load 工具生成加密文件
0 ^/ }! A$ X3 \. ~' x; Z: q6 zyum install db4-utils -y
2 C7 m! z) N# ndb_load -T -t hash -f vuser.list vuser.db
file vuser.list
file vuser.db
# 为了安全,修改虚拟用户文件的访问权限
1 `9 }% Q: a8 Y# c/ V9 ~chmod 600 /etc/vsftpd/vuser.*
ll /etc/vsftpd/vuser.*
3）创建虚拟用户的授权认证文件
, \/ ~0 C4 ]! o6 xcd /etc/pam.d/
mv vsftpd vsftpd.ori  # 备份原有的ftp的pam认证文件
7 z0 ]8 F' x9 d8 {! ~8 w' avim ftpvuser.pam      # 创建新的ftp虚拟用户认证文件
1 r  I8 t0 c4 y8 U  l$ ]" M( ~-----------------------------------
#%PAM-1.0
# n0 j1 ^; e) G8 q1 s* @$ aauth       required     pam_userdb.so db=/etc/vsftpd/vuser.d/vuser
account    required     pam_userdb.so db=/etc/vsftpd/vuser.d/vuser
-----------------------------------
( M+ `+ n  Y# @! H0 a- D+ y, w注意：db=/etc/vsftpd/vuser.d/vuser 不可以加.db的扩展名，否则认证不成功
% K# R3 J" P) R( y0 [" Q- v; L/ G4.3.实例演示：配置一个虚拟用户
1）创建 ftp 虚拟用户 test1 的数据目录和秘钥文件
mkdir -p /data/ftpdata/zhaoshuai
touch /data/ftpdata/zhaoshuai/ccc.txt               # 创建测试文件
( t4 T8 @; C; [' [, B6 r/ rmkdir -p /data/ftpdata/zhaoshuai/ddd
* {) F, {! z8 d$ G& ~' Xchown -R ftpvuser.ftpvuser /data/ftpdata
chmod 755 /data/ftpdata/
2 V, [6 R: U5 Als -lhd /data/ftpdata/
, }' n! b, {% @/ o* \0 }1 ^! U6 r0 K. E5 [ls -lh /data/ftpdata/
4 f: [! n( T$ v% h2）把该虚拟用户 test1 添加到 user_list 文件中
vim /etc/vsftpd/user_list
---------------------
zhaoshuai
----------------------
4 g2 Y0 }) e, q6 ?; n( U备注：
1 `  \& b- l* A1）注释掉其他本地用户认证的内容，因为启用了 guest_enable 后，本地用户将失效，所有非匿名用户变成虚拟用户
' W* X( h4 D+ k3 l2）因为需要授权访问的用户比较少，所以user_list设置为可以访问ftp服务的用户
3）创建或修改虚拟用户秘钥信息
cd /etc/vsftpd/vuser.d
vim  vuser.list
* }; f' `6 }* h. E--------------------
zhaoshuai
zhaoshuai               # 这里的密码和系统用户 zhaoshuai 的密码不同用以区分
--------------------
  B+ i; K  l1 W, K! ~: mdb_load -T -t hash -f vuser.list vuser.db
该文件的格式为：一行用户名一行密码
4）为用户创建授权配置文件（文件名必须为虚拟用户名）
8 o2 n- w' f- w9 M2 Zcd /etc/vsftpd/vuser.d
vim zhaoshuai
---------------------------
+ p/ b7 _7 L; Q  U# 指定宿主目录，配置访问权限
local_root=/data/ftpdata/zhaoshuai  # 虚拟用户的宿主目录
) D9 a& y* s3 f( g. Ewrite_enable=YES
anon_upload_enable=YES       # 上传
anon_mkdir_write_enable=YES      # 创建目录写权限
4 O3 ?2 ]7 f% [anon_other_write_enable=YES      # 其他写入权限
0 K2 y( X6 Z: n( U0 B  D---------------------------
) p  h* H: V0 [1 _0 Z% O5）配置完成刷新配置信息
systemctl restart vsftpd
systemctl status vsftpd
' f4 _; N: q4 I. W+ O6）登陆测试
7 e* W, {0 ?* [: r+ F- o$ z[root@srv05-CT75 vuser.d]# ftp 127.0.0.1
Connected to 127.0.0.1 (127.0.0.1).
220 (vsFTPd 3.0.2)
- M. @3 r$ K4 ~Name (127.0.0.1:root): zhaoshuai
% m) A% s& y* D4 h2 C2 f/ v9 d" h331 Please specify the password.
Password:                                       # 在这里使用系统用户zhaoshuai的密码无法登陆
530 Login incorrect.
Login failed.
# U& q9 p$ i8 }! H1 r& Eftp> exit
221 Goodbye.
[root@srv05-CT75 vuser.d]# ftp 127.0.0.1
# e$ B$ G5 N6 h) [Connected to 127.0.0.1 (127.0.0.1).
- R  A; p+ [$ C220 (vsFTPd 3.0.2)
- x, L/ y+ Q3 G# m7 y* {7 ^Name (127.0.0.1:root): zhaoshuai
331 Please specify the password.
Password:                                       # 使用虚拟用户zhaoshuai的密码可以正常登录
230 Login successful.
Remote system type is UNIX.
- |, l% M3 e' HUsing binary mode to transfer files.
ftp>
  F+ k/ ?8 ^0 A0 A/ o- c% ]' O3 h# E0 lftp> ls                                         # 可以查看到上面创建的测试文件
. V, d# m, v5 [- p7 I  k( @227 Entering Passive Mode (127,0,0,1,226,175).
+ w# w$ J7 o% F% o150 Here comes the directory listing.
drwxr-xr-x    3 1000     1000         4096 Jun 12 07:59 ccc.txt
drwxr-xr-x    6 1000     1000         4096 Jun 12 07:45 ddd
9 y$ q9 Y0 f7 F) c$ z# \8 [' V226 Directory send OK.
1 j9 _5 g' P, G/ k' I! vftp> exit
221 Goodbye.
& ^. P! G% f8 S1 \8 r. U  t回到顶部
拓展1：ftp 的防火墙配置
iptables -I INPUT -p tcp --dport 21 -j ACCEPT　　      # FTP连接端口
6 m) l( ?0 P+ I& Y7 m) t! R3 c6 E# t- _& |iptables -I INPUT -p tcp --dport 33000:34000 -j ACCEPT　　 # pasv模式下的随机端口
& Z1 A8 |  f9 f1 F* t( Niptables-save >/etc/sysconfig/iptables　　           # 保存防火墙配置
systemctl restart iptables.service
8 g  U9 g6 @; x; j% vsystemctl restart vsftpd.service
回到顶部
拓展2：CentOS6安装vsftpd
方法相同，区别在于服务的启动命令是
; p: Y3 ^  C4 e3 j* m! D* @service vsftpd restart
service vsftpd status
3 f' O$ h8 I5 U' f; o$ v