Centos7+openldap+vsftp

前言

简要介绍：在LDAP和FTP相关技术的基础上，提出一套基于LDAP和FTP技术的统一身份认证方案和帐号管理系统方案，解决FTP系统的统一认证、访问控制和B/S模式下FTP帐号管理等问题。LDAP(Lightweight Directory Access Protocol)是一种基于X.500标准的跨平台的轻量级目录访问协议。它运行在TCP/IP协议上，对Internet有着良好的支持性，采用树状的层次结构来存储数据，具备数据读取速度快，管理方便等特色。LDAP多用于构建统一身份认证系统，集中管理应用信息系统的帐号，实现统一用户管理、身份认证、访问控制等功能；可解决多应用系统用户的统一管理、统一认证和统一受权；有助于减小数据冗余，提升数据安全和便于用户操做。OpenLDAP：OpenLDAP是一款开源的LDAP目录服务产品，能够运行于Linux，Uinx等操做系统。其设计目的是提供一种高效、安全的方法来查询和管理数据。经过使用SASL，SSL来支持强度认证和提供完整性与安全保护，经过使用丰富的功能强大的存取控制手段来控制对权限的操做。认证机制与流程VSFTP与LDAP集中认证，主要经过LDAP使用vsftpd.schema定义VSFTP的各项属性，并将FTP帐号信息存入LDAP数据库中，当用户向FTP服务器请求认证时，FTP服务器将认证工做交由LDAP服务器处理。1．FTP用户请求链接并发送帐号认证信息。2．FTP服务器根据pure-ftpd.conf中配置将用户账号信息转发到LDAP服务器验证。3．LDAP服务器验证帐号密码。4．LDAP服务器返回验证信息和帐号信息（FTPStatus等属性）。5．FTP服务器根据LDAP返回信息对用户受权（是否容许链接）。6．FTP服务器向用户返回受权结果。

1.初始化准备

系统：centos7 65位配置yum源

wget http://mirrors.aliyun.com/repo/Centos-7.repo
    cp Centos-7.repo /etc/yum.repos.d/
    cd /etc/yum.repos.d/
    mv CentOS-Base.repo CentOS-Base.repo.bak
    mv Centos-7.repo CentOS-Base.repo
    yum clean all
    yum makecache复制代码

关闭selinux和防火墙

sed -i ‘/SELINUX/s/enforcing/disabled/’ /etc/selinux/config && setenforce 0&& systemctl disable firewalld.service && systemctl stop firewalld.service && shutdown -r now复制代码

2.安装openldap

使用以下命令安装

yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel migrationtools pam_ldap复制代码

查看版本

[root@centos-linux1810 ~]# slapd -VV
@(#) $OpenLDAP: slapd 2.4.44 (Oct 30 2018 23:14:27) $
        mockbuild@x86-01.bsys.centos.org:/builddir/build/BUILD/openldap-2.4.44/openldap-2.4.44/servers/slapd复制代码

3.配置openldap

3.1设置OpenLDAP的管理员密码

slappasswd -s 123456复制代码

保存输出后的字段，等会会在配置文件中会使用到。

3.2修改olcDatabase={2}hdb.ldif文件

vim /etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif修改以下两行内容，并增长一行

olcSuffix: dc=myldap,dc=com
olcRootDN: cn=Manager,dc=myldap,dc=com
olcRootPW: {SSHA}SWksXFfh42io+UQqEgWXvc/OQzvjeEcJ复制代码

注意：其中cn=Manager中的Manager表示OpenLDAP管理员的用户名，而olcRootPW表示OpenLDAP管理员的密码

3.3修改olcDatabase={1}monitor.ldif文件

vim /etc/openldap/slapd.d/cn=config/olcDatabase={1}monitor.ldif修改以下内容

olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=extern
 al,cn=auth" read by dn.base="cn=Manager,dc=myldap,dc=com" read by * none复制代码

注意：该修改中的dn.base是修改OpenLDAP的管理员的相关信息的验证OpenLDAP的基本配置，使用以下命令：

slaptest -u复制代码

经过上述命令，咱们能够很明显的看出OpenLDAP的基本配置是没有问题。启动OpenLDAP服务，使用以下命令：

systemctl enable slapd
systemctl start slapd
systemctl status slapd复制代码

OpenLDAP默认监听的端口是389，下面咱们来看下是否是389端口，以下：

netstat -tpln | grep 389复制代码

3.4.配置OpenLDAP数据库

OpenLDAP默认使用的数据库是BerkeleyDB，如今来开始配置OpenLDAP数据库，使用以下命令：

cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
chown ldap:ldap -R /var/lib/ldap
chmod 700 -R /var/lib/ldap复制代码

注意：/var/lib/ldap/就是BerkeleyDB数据库默认存储的路径。

3.5.导入基本Schema

ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif复制代码

3.6.修改migrate_common.ph文件

vim /usr/share/migrationtools/migrate_common.ph

$DEFAULT_MAIL_DOMAIN = "myldap.com";
$DEFAULT_BASE = "dc=myldap,dc=com";
$EXTENDED_SCHEMA = 1;复制代码

到此OpenLDAP的配置就已经所有完毕，下面咱们来开始添加用户到OpenLDAP中。

4.添加用户及用户组

默认状况下OpenLDAP是没有普通用户的，可是有一个管理员用户。管理用户就是前面咱们刚刚配置的root。如今咱们把系统中的用户，添加到OpenLDAP中。为了进行区分，咱们如今新加两个用户ldapuser1和ldapuser2，和两个用户组ldapgroup1和ldapgroup2，以下：添加用户组，使用以下命令：

groupadd ldapgroup1
groupadd ldapgroup2复制代码

添加用户并设置密码，使用以下命令

useradd -g ldapgroup1 ldapuser1
useradd -g ldapgroup2 ldapuser2
echo ‘123456’ | passwd –-stdin ldapuser1
echo ‘123456’ | passwd –-stdin ldapuser2复制代码

把刚刚添加的用户和用户组提取出来，这包括该用户的密码和其余相关属性，以下

grep “:10[0-9][0-9]” /etc/passwd > /root/users
grep “:10[0-9][0-9]” /etc/group > /root/groups复制代码

根据上述生成的用户和用户组属性，使用migrate_passwd.pl文件生成要添加用户和用户组的ldif，以下：

/usr/share/migrationtools/migrate_passwd.pl /root/users > /root/users.ldif
/usr/share/migrationtools/migrate_group.pl /root/groups > /root/groups.ldif
cat users.ldif
cat groups.ldif复制代码

注意：后续若是要新加用户到OpenLDAP中的话，咱们能够直接修改users.ldif文件便可。

5.导入用户及用户组到OpenLDAP数据库

配置openldap基础的数据库，以下：cat base.ldif

dn: dc=myldap,dc=com
dc: myldap
objectClass: top
objectClass: domain

dn: cn=Manager,dc=myldap,dc=com
cn: Manager
objectClass: organizationalRole
description: Directory Manager

dn: ou=People,dc=myldap,dc=com
ou: People
objectClass: top
objectClass: organizationalUnit

dn: ou=Group,dc=myldap,dc=com
ou: Group
objectClass: top
objectClass: organizationalUnit复制代码

导入基础数据库，使用以下命令：

ldapadd -x -w "123456" -D "cn=Manager,dc=myldap,dc=com" -f /root/base.ldif复制代码

导入用户到数据库，使用以下命令：

ldapadd -x -w "123456" -D "cn=Manager,dc=myldap,dc=com" -f /root/users.ldif复制代码

导入用户组到数据库，使用以下命令

ldapadd -x -w "123456" -D "cn=Manager,dc=myldap,dc=com" -f /root/groups.ldif复制代码

6.把OpenLDAP用户加入到用户组

尽管咱们已经把用户和用户组信息，导入到OpenLDAP数据库中了。但实际上目前OpenLDAP用户和用户组之间是没有任何关联的。若是咱们要把OpenLDAP数据库中的用户和用户组关联起来的话，咱们还须要作另外单独的配置。如今咱们要把ldapuser1用户加入到ldapgroup1用户组，须要新建添加用户到用户组的ldif文件，以下：cat userstogroups.ldif

dn: cn=ldapgroup1,ou=Group,dc=myldap,dc=com
changetype: modify
add: memberuid
memberuid: ldapuser1复制代码

ldapadd -x -w "123456" -D "cn=Manager,dc=myldap,dc=com" -f /root/users_to_groups.ldif复制代码

查询添加的OpenLDAP用户组信息，以下：

ldapsearch -LLL -x -D 'cn=Manager,dc=myldap,dc=com' -w "123456" -b 'dc=myldap,dc=com' 'cn=ldapgroup1'复制代码

7.开启OpenLDAP日志访问功能

默认状况下OpenLDAP是没有启用日志记录功能的，可是在实际使用过程当中，咱们为了定位问题须要使用到OpenLDAP日志。新建日志配置ldif文件，以下：cat loglevel.ldif

dn: cn=config
changetype: modify
replace: olcLogLevel
olcLogLevel: stats复制代码

导入到OpenLDAP中，并重启OpenLDAP服务，以下：

ldapmodify -Y EXTERNAL -H ldapi:/// -f /root/loglevel.ldif
systemctl restart slapd复制代码

修改rsyslog配置文件，并重启rsyslog服务，以下：vim /etc/rsyslog.conf

local4.* /var/log/slapd.log
systemctl restart rsyslog复制代码

8.安装和配置LDAP管理工具PHPldapadmin

首先安装apache和php

yum -y install httpd php php-ldap php-gd php-mbstring php-pear php-bcmath php-xml复制代码

下载安装包phpldapadmin-1.2.3.tgz

tar zxvf phpldapadmin-1.2.3.tgz
cp -r phpldapadmin-1.2.3 /var/www/html/
cd /var/www/html/
mv phpldapadmin-1.2.3 phpldapadmin
cd phpldapadmin/config/
cp config.php.example config.php复制代码

vim config.php

$servers = new Datastore();
$servers->newServer('ldap_pla');
$servers->setValue('server','name','My LDAP Server');
$servers->setValue('server','host','10.211.55.37');
$servers->setValue('server','port',389);
$servers->setValue('server','base',array('dc=myldap,dc=com'));
$servers->setValue('login','auth_type','session');
$servers->setValue('login','bind_id','cn=Manager,dc=myldap,dc=com');
$servers->setValue('login','bind_pass','123456');
$servers->setValue('server','tls',false);复制代码

启动httpd，登录phpldapadmin,在浏览器输入systemctl start httpdhttp://10.211.55.37/phpldapadmin

9.配置vsftpd

yum install -y vsftpd复制代码

vim /etc/nslcd.conf

uri ldap://10.211.55.37/
base dc=myldap,dc=com
ssl no复制代码

重启nslcd服务systemctl restart nslcd修改ldap.confvim /etc/openldap/ldap.conf

host    10.211.55.37
BASE    dc=myldap,dc=com
URI     ldap://10.211.55.37
binddn  cn=Manager,dc=myldap,dc=com
bindpw  123456复制代码

vim /etc/pam.d/vsftpd添加如下两行

auth       required     pam_ldap.so
account    required     pam_ldap.so复制代码

修改vsftpd配置文件vim /etc/vsftpd/vsftpd.conf

anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
anon_upload_enable=YES
anon_mkdir_write_enable=YES
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
chroot_local_user=YES
listen=YES
listen_ipv6=NO
pam_service_name=vsftpd
userlist_enable=YES
tcp_wrappers=YES
guest_enable=YES
guest_username=ftp
local_root=/opt/ftpdata
allow_writeable_chroot=YES复制代码

systemctl restart vsftpd