vsftpd安装及虚拟用户配置

服务器环境：CentOS Linux release 7.4   3.10.0-693.5.2.el7.x86_64

服务器软件：vsftpd-3.0.2

FTP工做模式：主动模式和被动模式

主动模式

被动模式

vsftpd的配置文件

/etc/vsftpd/vsftpd.conf　　主配置文件

/etc/vsftpd/ftpusers　　黑名单

/etc/vsftpd/vsftpd_conf_migrate.sh　　迁移脚本

/etc/vsftpd/user_list　　用户列表，与userlist_enbale和userlist_deny选项密切相关，详见http://blog.csdn.net/bluishglc/article/details/42273197

安装vsftpd

# yum -y install vsftpd

安装libdb-utils

安装Berkeley DB工具，用于生成虚拟用户认证文件

# yum -y install libdb-utils    #CentOS7是libdb-utils
# yum -y install db4 db4-utils    #CentOS6是db4-utils

宿主用户

建立宿主用户，即guest_username，全部虚拟用户都是映射宿主用户的目录权限。

# useradd -d /var/vsftp -s /sbin/nologin vsftp

主配置文件

# vi /etc/vsftpd/vsftpd.conf

#关闭匿名访问
anonymous_enable=NO
#启用本地系统用户，包括虚拟用户
local_enable=YES
#容许执行FTP命令，若是禁用，将不能进行上传、下载、删除、重命名等操做
write_enable=YES
#本地用户umask值
local_umask=022
dirmessage_enable=YES
#启用日志
xferlog_enable=YES
xferlog_std_format=YES
#关闭ftp-data端口，至关于不使用主动模式
connect_from_port_20=NO
#限制用户不能离开FTP主目录，启用并设置例外用户清单
chroot_local_user=YES
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list
#使用ipv4进行监听
listen=YES
listen_ipv6=NO

#pam认证文件名称，位于/etc/pam.d/
pam_service_name=vsftpd
#启用全局用户例外清单
userlist_enable=YES
#启用tcp封装
tcp_wrappers=YES

#虚拟用户权限是否与本地用户相同。为NO时，将与匿名用户的权限相同，在每一个虚拟用户配置文件里设置匿名用户的选项等于虚拟用户的权限
virtual_use_local_privs=NO

#启用guest后，全部非匿名用户将映射到guest_username进行访问，包括本地系统用户也不能使用，而且转换成一个虚拟用户，与其余虚拟用户的配置方法同样
guest_enable=YES
guest_username=vsftp
#虚拟用户配置文件目录
user_config_dir=/etc/vsftpd/vuser_conf

#启用pasv模式
pasv_enable=YES
pasv_min_port=33000
pasv_max_port=34000

 主配置文件可参考：man vsftpd.conf或https://security.appspot.com/vsftpd/vsftpd_conf.html

chroot_list文件

chroot()会检查chroot_list文件

# touch /etc/vsftpd/chroot_list

虚拟用户列表

奇行为用户名，偶行为密码

# vi /etc/vsftpd/vuser

ftpserver
111111

虚拟用户认证文件

# db_load -T -t hash -f /etc/vsftpd/vuser /etc/vsftpd/vuser.db
# chmod 600 /etc/vsftpd/vuser.db

虚拟用户认证配置

注释掉其余本地用户认证的内容，由于启用了guest_enable后，本地用户将失效，全部非匿名用户变成虚拟用户

# cp /etc/pam.d/vsftpd{,.bak}
# vi /etc/pam.d/vsftpd

auth required /lib64/security/pam_userdb.so db=/etc/vsftpd/vuser
account required /lib64/security/pam_userdb.so db=/etc/vsftpd/vuser

虚拟用户配置文件

# mkdir /etc/vsftpd/vuser_conf/
# vi /etc/vsftpd/vuser_conf/ftpserver　　#文件名与对应FTP虚拟用户一致

local_root=/var/vsftp/ftpserver　　#虚拟用户主目录，用户和组必须指定为宿主用户vsftp
#vsftpd主配置文件中已规定虚拟用户权限与匿名用户一致，所以如下针对匿名用户的权限配置即为虚拟用户的权限 
anon_umask=077 
anon_world_readable_only=NO
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_other_write_enable=YES

虚拟用户主目录和权限

最新版vsftpd不容许用户主目录有w权限，所以在主目录下新建一个子目录，赋予700权限。全部上传、下载、删除、重命名等操做只能在子目录中进行

# mkdir -p /var/vsftp/ftpserver/newdir
# chown -R vsftp.vsftp /var/vsftp
# chmod -R 500 /var/vsftp
# chmod -R 700 /var/vsftp/newdir

SELINUX

# setsebool -P ftpd_full_access on

防火墙

# iptables -I INPUT -p tcp --dport 21 -j ACCEPT　　#FTP链接端口
# iptables -I INPUT -p tcp --dport 33000:34000 -j ACCEPT　　#pasv模式下的随机端口
# iptables-save >/etc/sysconfig/iptables　　#保存防火墙配置

重启

# systemctl restart iptables.service
# systemctl restart vsftpd.service