文件共享服务 FTP

文件共享服务 FTP

文件传输协议FTP

• File Transfer Protocol 早期的三个应用级协议之一
• 基于C/S结构
• 双通道协议：数据和命令链接
• 数据传输格式：二进制（默认）和文本
• 两种模式：服务器角度
  • 主动(PORT style)：服务器主动链接
    • 命令（控制）：客户端：随机port --- 服务器：tcp21
    • 数据：客户端：随机port ---服务器：tcp20
  • 被动(PASV style)：客户端主动链接
    • 命令（控制）：客户端：随机port --- 服务器：tcp21
    • 数据：客户端：随机port ---服务器：随机port
• 服务器被动模式数据端口示例：
  • 227 Entering Passive Mode (172,16,0,1,224,59)
  • 服务器数据端口为：224*256+59

FTP软件介绍

•  FTP服务器：
  • Wu-ftpd，Proftpd，Pureftpd，ServU，IIS
  • vsftpd:Very Secure FTP Daemon，CentOS默认FTP服务器
    • 高速，稳定，下载速度是WU-FTP的两倍
    • ftp.redhat.com数据:单机最多可支持15000个并发
• 客户端软件：
  • ftp，lftp，lftpget，wget，curl
    • ftp -A ftpserver port -A主动模式 –p 被动模式
    • lftp –u username ftpserver
    • lftp username@ftpserver
    • lftpget ftp://ftpserver/pub/file
    • gftp：GUI centos5 最新版2.0.19 (11/30/2008)
    • filezilla，CuteFtp，FlashFXP，LeapFtp
    • IE ftp://username:password@ftpserver
• 状态码：
  • 1XX：信息 125：数据链接打开
  • 2XX：成功类状态 200：命令OK 230：登陆成功
  • 3XX：补充类 331：用户名OK
  • 4XX：客户端错误 425：不能打开数据链接
  • 5XX：服务器错误 530：不能登陆
• 用户认证：
  • 匿名用户：ftp,anonymous,对应Linux用户ftp
  • 系统用户：Linux用户,用户/etc/passwd,密码/etc/shadow
  • 虚拟用户：特定服务的专用用户，独立的用户/密码文件
    • nsswitch:network service switch名称解析框架
    • pam:pluggable authentication module 用户认证
    • /lib64/security /etc/pam.d/ /etc/pam.conf

vsftpd服务

• 由vsftpd包提供
• 再也不由xinetd管理
• 用户认证配置文件：/etc/pam.d/vsftpd
• 服务脚本： /usr/lib/systemd/system/vsftpd.service
  • /etc/rc.d/init.d/vsftpd
• 配置文件：/etc/vsftpd/vsftpd.conf
  • man 5 vsftpd.conf
  • 格式：option=value
  • 注意：= 先后不要有空格
• 匿名用户（映射为系统用户ftp ）共享文件位置：/var/ftp
• 系统用户共享文件位置：用户家目录
• 虚拟用户共享文件位置：为其映射的系统用户的家目录

vsftpd服务配置

• 命令端口
  • listen_port=21
• 主动模式端口
  • connect_from_port_20=YES 主动模式端口为20
  • ftp_data_port=20 （默认） 指定主动模式的端口
• 被动模式端口范围
  • linux 客户端默认使用被动模式
  • windows 客户端默认使用主动模式
  • pasv_min_port=6000 0为随机分配
  • pasv_max_port=6010
• 使用当地时间
  • use_localtime=YES 使用当地时间（默认为NO，使用GMT）
• 匿名用户
  • anonymous_enable=YES 支持匿名用户 
  • no_anon_password=YES(默认NO) 匿名用户略过口令检查
  • anon_upload_enable=YES 匿名上传，注意:文件系统权限
  • anon_mkdir_write_enable=YES 匿名建目录
  • anon_world_readable_only (默认YES)只能下载所有读的文件
  • anon_umask=0333 指定匿名上传文件的umask，默认077
  • anon_other_write_enable=YES 可删除和修改上传的文件
  • 指定上传文件的默认的全部者和权限
  • chown_uploads=YES(默认NO)
  • chown_username=wang
  • chown_upload_mode=0644
•  Linux系统用户
  • local_enable=YES 是否容许linux用户登陆
  • write_enable=YES 容许linux用户上传文件
  • local_umask=022 指定系统用户上传文件的默认权限
  • guest_enable=YES 全部系统用户都映射成guest用户
  • guest_username=ftp 配合上面选项才生效，指定guest用户
  • local_root=/ftproot guest用户登陆所在目录
• 禁锢全部系统用户在家目录中
  • chroot_local_user=YES（默认NO，不由锢）禁锢系统用户
• 禁锢或不由锢特定的系统用户在家目录中，与上面设置功能相反
  • chroot_list_enable=YES
  • chroot_list_file=/etc/vsftpd/chroot_list
  • 当chroot_local_user=YES时，则chroot_list中用户不由锢
  • 当chroot_local_user=NO时，则chroot_list中用户禁锢
•  wu-ftp日志：默认启用
  • xferlog_enable=YES （默认）  启用记录上传下载日志
  • xferlog_std_format=YES （默认） 使用wu-ftp日志格式
  • xferlog_file=/var/log/xferlog （默认）可自动生成
• vsftpd日志：默认不启用
  • dual_log_enable=YES 使用vsftpd日志格式，默认不启用
  • vsftpd_log_file=/var/log/vsftpd.log（默认）可自动生成
• 登陆提示信息
  • ftpd_banner=“welcome to mage ftp server"
  • banner_file=/etc/vsftpd/ftpbanner.txt
• 目录访问提示信息
  • dirmessage_enable=YES (默认)
  • message_file=.message(默认)  信息存放在指定目录下.message
• 使用pam(Pluggable Authentication Modules)完成用户认证
  • pam_service_name=vsftpd
    • pam配置文件:/etc/pam.d/vsftpd
    • /etc/vsftpd/ftpusers 默认文件中用户拒绝登陆
• 是否启用控制用户登陆的列表文件
  • userlist_enable=YES 默认有此设置
  • userlist_deny=YES(默认值) 黑名单,不提示口令，NO为白名单
  • userlist_file=/etc/vsftpd/users_list 此为默认值
• vsftpd服务指定用户身份运行
  • nopriv_user=nobody (默认值)
• 链接数限制
  • max_clients=0 最大并发链接数
  • max_per_ip=0 每一个IP同时发起的最大链接数
• 传输速率：字节/秒
  • anon_max_rate=0 匿名用户的最大传输速率
  • local_max_rate=0 本地用户的最大传输速率
• 链接时间：秒为单位
  • connect_timeout=60 主动模式数据链接超时时长
  • accept_timeout=60 被动模式数据链接超时时长
  • data_connection_timeout=300 数据链接无数据输超时时长
  • idle_session_timeout=60 无命令操做超时时长
• 优先以文本方式传输
  • ascii_upload_enable=YES
  • ascii_download_enable=YES

实现基于SSL的FTPS

•  查看是否支持SSL
  • ldd `which vsftpd` 查看到libssl.so
• 建立自签名证书
  • cd /etc/pki/tls/certs/
  • make vsftpd.pem
  • openssl x509 -in vsftpd.pem -noout –text
• 配置vsftpd服务支持SSL：/etc/vsftpd/vsftpd.conf
  • ssl_enable=YES 启用SSL
  • allow_anon_ssl=NO 匿名不支持SSL
  • force_local_logins_ssl=YES 本地用户登陆加密
  • force_local_data_ssl=YES 本地用户数据传输加密
  • rsa_cert_file=/etc/pki/tls/certs/vsftpd.pem
•  用filezilla等工具测试

vsftpd虚拟用户

• 虚拟用户：
  • 全部虚拟用户会统一映射为一个指定的系统账号：访问共享位置，即为此系统账号的家目录
  • 各虚拟用户可被赋予不一样的访问权限，经过匿名用户的权限控制参数进行指定
• 虚拟用户账号的存储方式：
  • 文件：编辑文本文件，此文件须要被编码为hash格式
  • 奇数行为用户名，偶数行为密码
  • db_load -T -t hash -f vusers.txt vusers.db
  • 关系型数据库中的表中：
    • 实时查询数据库完成用户认证
  • mysql库：pam要依赖于pam-mysql
    • /lib64/security/pam_mysql.so
    • /usr/share/doc/pam_mysql-0.7/README

实现基于文件验证的vsftpd虚拟用户

• 建立用户数据库文件

1. [root@CentOS7 ~]# yum install vsftpd -y
2. [root@CentOS7 ~]# cat <<-EOF > /etc/vsftpd/vuser.txt
   > zhangsan
   > 123
   > lisi
   > 456
   > EOF
3. [root@CentOS7 ~]# cd /etc/vsftpd/
   [root@CentOS7 vsftpd]# db_load -T -t hash -f vuser.txt vuser.db
   [root@CentOS7 vsftpd]# chmod 600 vuser.db

• 建立用户和访问FTP目录

1. [root@CentOS7 vsftpd]# useradd -d /var/ftproot -s /sbin/nologin vuser
2. [root@CentOS7 vsftpd]# chmod 555 /var/ftproot/
3. [root@CentOS7 vsftpd]# mkdir /var/ftproot/upload
4. [root@CentOS7 vsftpd]# setfacl -m u:vuser:rwx /var/ftproot/upload

• 建立pam配置文件

1. vim /etc/pam.d/vsftpd.db
   1. auth required pam_userdb.so db=/etc/vsftpd/vuser
      account required pam_userdb.so db=/etc/vsftpd/vuser

• 映射为系统用户 vuser , 指定 pam的配置文件

1. vim /etc/vsftpd/vsftpd.conf
   guest_enable=YES
   guest_username=vuser
   pam_service_name=vsftpd.db

• SELinux设置

1. 禁用SELinux 或者 setsebool -P ftpd_full_access 1

• 虚拟用户创建独立的配置文件

1. mdkir /etc/vsftpd/vuser.d/
2. vim /etc/vsftpd/vsftpd.conf
   user_config_dir=/etc/vsftpd/vuser.d/
3. 容许虚拟用户 zhangsan 可读写
   1. cd /etc/vsftpd/vuser.d/
   2. vim zhangsan
      1. anon_upload_enable=YES
         anon_mkdir_write_enable=YES
         anon_other_write_enable=YES
   3. 在 根目录 /var/ftproot/能够下载，但不能上传
   4. 在 /var/ftproot/upload目录下是能够下载和上传的
   5. 建立 虚拟用户 lisi 的配置文件
      1. vim /etc/vsftpd/vuser.d/lisi
         1. local_root=/ftproot
      2. mkdir /ftproot
      3. lisi 用户能够下载但不能上传到根目录

实现基于MYSQL验证的vsftpd虚拟用户

• 虚拟用户信息存放在一台独立的 mysql 服务器中
  • yum install mariadb-server -y; mysql
  • mysql> create database vsftpd;
  • mysql> use vsftpd;
  • mysql> create table users(id int auto_increment not null primary key,name char(50) binary not null, password char(48) binary not null);
  • mysql> insert into users(name,password)values('lisi',password('456'));
  • mysql> insert into users(name,password)values('zhangsan',password('123'));
  • grant select on vsftpd.users to vsftpd@'192.168.209.%' identified by '123';  // vsftpd服务器经过这个网段的vsftpd这个用户链接上数据库
  • flush privileges;
• 搭建独立一台 vsftpd 服务器
  • ​​​​​​​安装 pam_mysql 
    • ​​​​​​​下载 pam_mysql 的源码包，编译安装
      • ​​​​​​​yum install gcc mariadb-devel pam-devel gcc-c++
      • tar xvf pam_mysql-0.7RC1.tar.gz
      • cd /data/pam_mysql-0.7RC1/
        ./configure --with-pam-mods-dir=/lib64/security/
        make && make install
  • 安装 vsftpd 服务，系统用户和 ftp 根目录，指定 pam 配置文件，修改配置文件, 启动 vsftpd 服务
    • yum install vsftpd -y
    • useradd -d /data/ftproot -s /sbin/nologin vuser
      chmod 555 /data/ftproot/
      mkdir /data/ftproot/upload
      setfacl -m u:vuser:rwx /data/ftproot/upload
    • vim /etc/pam.d/vsftpd.mysql
      auth required pam_mysql.so user=vsftpd passwd=123 host=192.168.209.7 db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2
      account required pam_mysql.so user=vsftpd passwd=123 host=192.168.209.7 db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2
    • vim /etc/vsftpd/vsftpd.conf
      pam_service_name=vsftpd.mysql
      guest_enable=yes
      guest_username=vuser
    • systemctl start vsftpd
• 独立一台 ftp 客户端测试