Linux环境下vsftpd参数配置

好久以前就用过vsftpd，但老是忘了参数该如何配置，今天特意有搜索了一遍，把配置方法整理以下：

（1）检查是否已安装vsftpd

#rpm -qa | grep vsftpd
vsftpd-2.0.5-28.el5

（2）新建一个FTP用户

#mkdir /home/ftpuser         　　　// 首先为ftpuser用户建立一个用户目录
#adduser -d /home/ftpuser -g ftp -s /sbin/nologin ftpuser　　// -s /sbin/nologin表示让其不能登录系统，-d指定用户目录为/home/ftpuser，也就是默认访问的目录 
#passwd ftpuser　　　　　　　　　　　// 接下来为ftpuser用户设置密码
Changing password for user beinan.
New UNIX password:
Retype new UNIX password:
passwd: all authentication tokens updated successfully.

（3）修改vsftpd的配置文件，使ftpuser不能访问用户目录的上层路径（默认状况下是能够访问用户目录的上层目录的）

#vi /etc/vsftpd/vsftpd.conf

// 去掉如下两行的注释符#
chroot_local_user＝YES
chroot_list_enable=YES　　# 本行可选
chroot_list_file=/etc/vsftpd/chroot_list

// 同时添加一个配置文件:
#vi /etc/vsftpd/chroot_list
// 将要设定权限的用户加进去（只有写进去的用户名才会拥有切换到上层目录的权限，其实不须要这个功能不该该写，留空便可）:
ftpuser

备注：当chroot_local_user=YES 时，chroot_list_file文件中写入的用户（一个一行）表示拥有切换（根路径）上级目录的权限，没写进去的用户则不具有切换（根路径）上层目录的权限；反之，当chroot_local_user=NO（默认） 时，全部用户默认均可以访问用户目录的上层路径，只有写入到chroot_list_file文件中的用户（一个一行）才禁止切换到上层路径。

心得：上面的这个两种状况设定老是很差记，每次理解的都不是很透彻老是忘了。能够这么理解：chroot_local_user是总开关，能够是YES（禁止）本地帐户切换上层目录，或者NO（默认，容许）本地帐户切换上层目录。但凡事总有例外吧，那么这个chroot_list_file 就是设定例外状况的。也就是与chroot_local_user 设定的含义相反。

（4）设定用户权限

在vsftpd 2.3.5以后，vsftpd加强了安全检查，若是用户被限定在了其主目录下，则该用户的主目录不能再具备写权限了！若是检查发现还有写权限，就会报以下错误：

C:\Users\liuheng.klh>ftp 47.88.58.168
链接到 47.88.58.168。
220 Welcome to Victo's FTP service.
用户(47.88.58.168:(none)): ftpuser
331 Please specify the password.
密码:
500 OOPS: vsftpd: refusing to run with writable root inside chroot()
500 OOPS: priv_sock_get_cmd
远程主机关闭链接。

 须要作两步设定：

<1> 在配置文件 /etc/vsftpd.conf 文件末尾添加一行： allow_writeable_chroot=YES

<2> 注意新增用户的主目录要有写入权限（直接更改目录所属关系就能够）： chown ftpuser:ftp /home/ftpuser 

（5）从新启动vsftpd服务

#service vsftpd restart

（6）开启防火墙

不论是IPTables仍是阿里控制台的安全策略，都须要新增防火墙端口控制，分红两步骤：

<1> 设定vsftpd被动端口范围，在vsftpd.conf配置文件中末尾新增两行：pasv_min_port=61001  和  pasv_max_port=62000

<2> 开启以下端口控制：20 - 21、61001 - 62000

 （7）附加一下配置示例

  1 # Example config file /etc/vsftpd.conf
  2 #
  3 # The default compiled in settings are fairly paranoid. This sample file
  4 # loosens things up a bit, to make the ftp daemon more usable.
  5 # Please see vsftpd.conf.5 for all compiled in defaults.
  6 #
  7 # READ THIS: This example file is NOT an exhaustive list of vsftpd options.
  8 # Please read the vsftpd.conf.5 manual page to get a full idea of vsftpd's
  9 # capabilities.
 10 #
 11 #
 12 # Run standalone?  vsftpd can run either from an inetd or as a standalone
 13 # daemon started from an initscript.
 14 listen=YES
 15 #
 16 # Run standalone with IPv6?
 17 # Like the listen parameter, except vsftpd will listen on an IPv6 socket
 18 # instead of an IPv4 one. This parameter and the listen parameter are mutually
 19 # exclusive.
 20 #listen_ipv6=YES
 21 #
 22 # Allow anonymous FTP? (Disabled by default)
 23 anonymous_enable=NO
 24 #
 25 # Uncomment this to allow local users to log in.
 26 local_enable=YES
 27 #
 28 # Uncomment this to enable any form of FTP write command.
 29 write_enable=YES
 30 #
 31 # Default umask for local users is 077. You may wish to change this to 022,
 32 # if your users expect that (022 is used by most other ftpd's)
 33 local_umask=000
 34 #
 35 # Uncomment this to allow the anonymous FTP user to upload files. This only
 36 # has an effect if the above global write enable is activated. Also, you will
 37 # obviously need to create a directory writable by the FTP user.
 38 #anon_upload_enable=YES
 39 #
 40 # Uncomment this if you want the anonymous FTP user to be able to create
 41 # new directories.
 42 #anon_mkdir_write_enable=YES
 43 #
 44 # Activate directory messages - messages given to remote users when they
 45 # go into a certain directory.
 46 dirmessage_enable=YES
 47 #
 48 # If enabled, vsftpd will display directory listings with the time
 49 # in  your  local  time  zone.  The default is to display GMT. The
 50 # times returned by the MDTM FTP command are also affected by this
 51 # option.
 52 use_localtime=YES
 53 #
 54 # Activate logging of uploads/downloads.
 55 xferlog_enable=YES
 56 #
 57 # Make sure PORT transfer connections originate from port 20 (ftp-data).
 58 connect_from_port_20=YES
 59 #
 60 # If you want, you can arrange for uploaded anonymous files to be owned by
 61 # a different user. Note! Using "root" for uploaded files is not
 62 # recommended!
 63 #chown_uploads=YES
 64 #chown_username=whoever
 65 #
 66 # You may override where the log file goes if you like. The default is shown
 67 # below.
 68 xferlog_file=/var/log/vsftpd.log
 69 #
 70 # If you want, you can have your log file in standard ftpd xferlog format.
 71 # Note that the default log file location is /var/log/xferlog in this case.
 72 #xferlog_std_format=YES
 73 #
 74 # You may change the default value for timing out an idle session.
 75 #idle_session_timeout=600
 76 #
 77 # You may change the default value for timing out a data connection.
 78 #data_connection_timeout=120
 79 #
 80 # It is recommended that you define on your system a unique user which the
 81 # ftp server can use as a totally isolated and unprivileged user.
 82 #nopriv_user=ftpsecure
 83 #
 84 # Enable this and the server will recognise asynchronous ABOR requests. Not
 85 # recommended for security (the code is non-trivial). Not enabling it,
 86 # however, may confuse older FTP clients.
 87 #async_abor_enable=YES
 88 #
 89 # By default the server will pretend to allow ASCII mode but in fact ignore
 90 # the request. Turn on the below options to have the server actually do ASCII
 91 # mangling on files when in ASCII mode.
 92 # Beware that on some FTP servers, ASCII support allows a denial of service
 93 # attack (DoS) via the command "SIZE /big/file" in ASCII mode. vsftpd
 94 # predicted this attack and has always been safe, reporting the size of the
 95 # raw file.
 96 # ASCII mangling is a horrible feature of the protocol.
 97 #ascii_upload_enable=YES
 98 #ascii_download_enable=YES
 99 #
100 # You may fully customise the login banner string:
101 ftpd_banner=Welcome to Victo's FTP service.
102 #
103 # You may specify a file of disallowed anonymous e-mail addresses. Apparently
104 # useful for combatting certain DoS attacks.
105 #deny_email_enable=YES
106 # (default follows)
107 #banned_email_file=/etc/vsftpd.banned_emails
108 #
109 # You may restrict local users to their home directories.  See the FAQ for
110 # the possible risks in this before using chroot_local_user or
111 # chroot_list_enable below.
112 chroot_local_user=YES
113 #
114 # You may specify an explicit list of local users to chroot() to their home
115 # directory. If chroot_local_user is YES, then this list becomes a list of
116 # users to NOT chroot().
117 # (Warning! chroot'ing can be very dangerous. If using chroot, make sure that
118 # the user does not have write access to the top level directory within the
119 # chroot)
120 chroot_local_user=YES
121 chroot_list_enable=YES
122 # (default follows)
123 chroot_list_file=/etc/vsftpd.chroot_list
124 #
125 # You may activate the "-R" option to the builtin ls. This is disabled by
126 # default to avoid remote users being able to cause excessive I/O on large
127 # sites. However, some broken FTP clients such as "ncftp" and "mirror" assume
128 # the presence of the "-R" option, so there is a strong case for enabling it.
129 #ls_recurse_enable=YES
130 #
131 # Customization
132 #
133 # Some of vsftpd's settings don't fit the filesystem layout by
134 # default.
135 #
136 # This option should be the name of a directory which is empty.  Also, the
137 # directory should not be writable by the ftp user. This directory is used
138 # as a secure chroot() jail at times vsftpd does not require filesystem
139 # access.
140 secure_chroot_dir=/var/run/vsftpd/empty
141 #
142 # This string is the name of the PAM service vsftpd will use.
143 pam_service_name=vsftpd
144 #
145 # This option specifies the location of the RSA certificate to use for SSL
146 # encrypted connections.
147 rsa_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
148 # This option specifies the location of the RSA key to use for SSL
149 # encrypted connections.
150 rsa_private_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
151 
152 # Add by KLH, 20181024 14:48
153 pasv_min_port=61001
154 pasv_max_port=62000
155 
156 allow_writeable_chroot=YES

View Code

 

 

下面将经常使用的vsftpd.conf文件配置参数进行说明：

1． 匿名服务器的链接（独立的服务器）

在/etc/vsftpd/vsftpd.conf配置文件中添加以下几项：

Anonymous_enable=yes    （容许匿名登录) 
Dirmessage_enable=yes    （切换目录时，显示目录下.message的内容） 
Local_umask=022             （FTP上本地的文件权限，默认是077）
Connect_form_port_20=yes     （启用FTP数据端口的数据链接）* 
Xferlog_enable=yes          （激活上传和下传的日志） 
Xferlog_std_format=yes    （使用标准的日志格式)）
Ftpd_banner=XXXXX        （欢迎信息） 
Pam_service_name=vsftpd （验证方式）* 
Listen=yes         （独立的VSFTPD服务器）* 

功能：只能链接FTP服务器，不能上传和下传

注：其中全部和日志欢迎信息相关连的都是可选项，打了星号的不管什么账户都要添加，是属于FTP的基本选项

2． 开启匿名FTP服务器上传权限

在配置文件中添加如下的信息便可：

Anon_upload_enable=yes     （开放上传权限）
Anon_mkdir_write_enable=yes （可建立目录的同时能够在此目录中上传文件）
Write_enable=yes             （开放本地用户写的权限）
Anon_other_write_enable=yes  （匿名账号能够有删除的权限）

3． 开启匿名服务器下传的权限

在配置文件中添加以下信息便可：

Anon_world_readable_only=no 

注：要注意文件夹的属性，匿名账户是其它（other）用户要开启它的读写执行的权限 ：（R）读—–下传 （W）写—-上传 （X）执行——若是不开FTP的目录都进不去

4．普通用户FTP服务器的链接（独立服务器）

在配置文件中添加以下信息便可：

Local_enble=yes （本地账户可以登录）
Write_enable=no （本地账户登录后无权删除和修改文件）

注：能够用本地账户登录vsftpd服务器，有下载上传的权限 注：在禁止匿名登录的信息后匿名服务器照样能够登录但不能够上传下传

5． 限定用户进入其主目录之外的目录

设置全部的本地用户都执行：

chroot chroot_local_user=yes （本地全部账户都只能在自家目录） 

设置指定用户执行

chroot chroot_list_enable=yes （chroot_list_file文件中的名单能够调用） 
chroot_list_file= /etc/vsftpd/chroot_list  （该文件中指定须要限定的用户名，该文件能够放在任意其余路径中）

注：chroot_list 默认是不存在的，须要本身手动添加，在该文件中加入想要控制权限的用户名便可。

特别说明：当chroot_local_user=yes时，chroot_list_file中指定的用户将不会限定在用户目录，其余用户都被限定了；只有当chroot_local_user=no时，chroot_list_file中指定的用户才是禁止访问用户目录之外的路径。

6． 限制本地用户访问FTP

Userlist_enable=yes（用userlistlai 来限制用户访问）
Userlist_deny=no    （名单中的人不容许访问）
Userlist_file=/指定文件存放的路径/ （文件放置的路径） 

注：开启userlist_enable=yes匿名账号不能登录

7． 一些安全选项

Idle_session_timeout=600    （单位：秒，用户会话空闲后10分钟） 
Data_connection_timeout=120 （单位：秒，将数据链接空闲2分钟断） 
Accept_timeout=60      （单位：秒，将客户端空闲1分钟后断） 
Connect_timeout=60     （单位：秒，中断1分钟后又从新链接） 
Local_max_rate=50000   （单位：bit，本地用户传输率50K） 
Anon_max_rate=30000    （单位：bit，匿名用户传输率30K） 
Pasv_min_port=50000
Pasv_max_port=60000 （将客户端的数据链接端口改在50000—60000之间）
Max_clients=200     （FTP的最大链接数） 
Max_per_ip=4        （每IP的最大链接数） 
Listen_port=5555    （从5555端口进行数据链接）

8． 新建FTP用户，并指定用户的默认FTP目录（不经过指定用户目录的方式）

建立FTP用户，限定其登录操做系统：

#useradd -s /sbin/nologin -g ftp newUser
#passwd newUser

添加用户配置文件目录：

#vi /etc/vsftpd/vsftp.conf
// 指定用户配置信息路径：
user_config_dir=/var/ftp
// 保存退出

建立该用户的FTP根目录：

#mkdir -p /var/www/bbs/

指定newUser用户的FTP根目录：

#vi /var/ftp/boy
// 添加以下
local_root=/var/www/bbs/

#chmod 777 /var/www/bbs/

重启vsftpd服务便可。

9． 查看谁登录了FTP，并杀死它的进程

ps –xf |grep ftp

kill 进程号

10． 开启虚拟帐户

首先要知道什么是虚拟帐户：虚拟帐户是FTP服务提供的专用帐户，它不属于操做系统的帐户，而只可以登陆FTP服务器。全部的虚拟帐户都对应着同一个操做系统帐户，也就是说全部虚拟帐户的权限都受到该操做系统帐户的权限限制。下面来看一下增长FTP虚拟帐户的步骤：

10.1 在操做系统中添加一个FTP虚拟帐户对应的本地帐户（因为是FTP虚拟帐户，因此对应的本地帐户不该该指定较高权限，-s /sbin/nologin表示不容许登录操做系统）

#useradd -d /home/vftpuser -s /sbin/nologin vftpuser

10.2 编写一个帐户信息文件，并生成对应的帐户信息数据库

#vi /etc/vsftpd/vftpuser.txt
// 添加如下帐户信息（奇数行为帐户名称，偶数行为对应的密码）：
user1
password1
user2
password2

// 利用db_load生成帐户信息数据库
#db_load -T -t hash -f /etc/vsftpd/vftpuser.txt /etc/vsftpd/vftpuser.db

 注意：若是要添加更多的帐户，在vftpuser.txt文件中添加新用户名和密码，而后从新调用db_load生成vftpuser.db便可。

10.3 开启PAM帐户认证

#vi /etc/pam.d/vsftpd
// 将里面其余的都注释掉，写入下面这两行：
auth sufficient /lib/security/pam_userdb.so db=/etc/vsftpd/vftpuser
account sufficient /lib/security/pam_userdb.so db=/etc/vsftpd/vftpuser

 注意：上面红色的关键字若是是required，则会形成本地帐户没法同时登录。

10.4 开启vsftpd服务对虚拟帐户的支持

#vi /etc/vsftpd/vsftpd.conf
anonymous_enable=NO    　　 // 关闭匿名用户【该项已存在,需修改】
guest_enable=YES    　　　　// 开启虚拟用户　　
guest_username=vftpuser    // FTP虚拟用户对应的系统用户
pam_service_name=vsftpd    // PAM认证文件
user_config_dir=/etc/vsftpd/vsftpd_config_dir     // 用户配置文件的目录

10.5 给FTP虚拟帐户指定参数，每个帐户都用一个同名文件来指定权限（下面以user1用户为例）

vi /etc/vsftpd/vsftpd_config_dir/user1
// 指定如下参数，仅针对user1用户有效：
local_root=/data/ftproot/user1 // 该用户的主目录
anon_world_readable_only=NO    // 下载权限
anon_upload_enable=YES         // 上传权限
anon_mkdir_write_enable=YES    // 建立目录的权限
anon_other_write_enable=NO     // 删除和重命名的权限

10.6 从新启动vsftpd服务使配置生效

#service vsftpd restart

 

=============================================================================================

小问题聚集：

<1>vsftpd链接速度很是慢，须要等上十几秒，这是为何？

解答：缘由是vsftp在登录时作了DNS检查来确认域名，解决办法有两个：一、在resolv.conf文件中删除localhost或者127.0.0.1这样的地址；二、在vsftpd.conf文件中加入：reverse_lookup_enable=NO。

<2>如何指定特定用户的操做权限？

解答：在vsftp的配置文件/etc/vsftpd.conf里头添加这么一行：user_config_dir=/etc/vsftpd_user_conf，而后在/etc/vsftpd_user_conf目录里头建立和用户名同名的文件，好比ftpuser，添加以下内容：

local_root=/vsr/www/html        // 指定用户目录
// 指定用户的操做权限（这里表示可上传下载，删除，建立文件夹等） 
cmds_allowed=ABOR,CWD,LIST,DELE,RMD,MDTM,MKD,NLST,PASS,PASV,PORT,PWD,QUIT,REST,RETR,RNFR,RNTO,SIZE,STOR,TYPE,USER,ACCT,APPE,CDUP,HELP,MODE,NOOP,REIN,STAT,STOU,STRU,SYST

注意，用户不能上传和删除极有多是文件夹操做权限的问题，经过chmod能够解决。 

<3>如何开启FTP操做日志功能？

 

解答：在vsftp的配置文件/etc/vsftp.conf里头添加以下内容，已有的进行修改便可：

xferlog_enable=YES             // FTP服务器记录上传下载状况
xferlog_std_format=YES      　　// 表示将记录的上传下载状况写在xferlog_file所指定的文件中，即/var/log/xferlog文件
xferlog_file=/var/log/xferlog   // 指定日志记录文件（该文件能够利用标准日志工具进行分析）
dual_log_enable=YES         　　// 开启双份日志记录功能，在用xferlog文件记录服务器上传下载状况的同时，vsftpd_log_file所指定的文件（即/var/log/vsftpd.log），也将用来记录服务器的传输状况
vsftpd_log_file=/var/log/vsftpd.log      // vsftpd格式的日志文件
syslog_enable=NO            　　// 将vsftpd日志输出到系统日志中