vsftpd工作原理和使用详解

简介

FTP（File Transfer Protocol，文件传输协议） 是 TCP/IP 协议组中的协议之一。FTP协议包括两个组成部分，其一为FTP服务器，其二为FTP客户端。其中FTP服务器用来存储文件，用户可以使用FTP客户端通过FTP协议访问位于FTP服务器上的资源。在开发网站的时候，通常利用FTP协议把网页或程序传到Web服务器上。此外，由于FTP传输效率非常高，在网络上传输大的文件时，一般也采用该协议。

默认情况下FTP协议使用TCP端口中的 20和21这两个端口，其中20用于传输数据，21用于传输控制信息。但是，是否使用20作为传输数据的端口与FTP使用的传输模式有关，如果采用主动模式，那么数据传输端口就是20；如果采用被动模式，则具体最终使用哪个端口要服务器端和客户端协商决定。

vsftpd 是“very secure FTP daemon”的缩写，安全性是它的一个最大的特点。vsftpd 是一个 UNIX 类操作系统上运行的服务器的名字，它可以运行在诸如 Linux、BSD、Solaris、 HP-UNIX等系统上面，是一个完全免费的、开放源代码的ftp服务器软件，支持很多其他的 FTP 服务器所不支持的特征。比如：非常高的安全性需求、带宽限制、良好的可伸缩性、可创建虚拟用户、支持IPv6、速率高等。

vsftpd工作原理

vsftpd基于C/S模式，有两种传输模式，分别是主动模式、被动模式。

主动模式

ftp client 端从一个任意的大于1024的端口P连接到ftp server 端的21端口。然后ftp client 端开始监听端口P+N，并发送FTP命令“port P+N”到ftp server 端。接着ftp server 端会从它自己的数据端口（20）连接到ftp client 端指定的数据端口P+N。

1. ftp client端启用大于1024端口P连接ftp server端口21，通过tcp三次握手建立连接
2. ftp client 端发送PORT请求告诉ftp server 端自己开启了P+N端口接收数据
3. ftp server 端用20端口和ftp client 端的P+N端口通过tcp三次握手后开始传输数据

被动模式

在被动方式FTP中，命令连接和数据连接都由ftp client 端发起，这样就可以解决从服务器到ftp client 端的数据端口的入方向连接被防火墙过滤掉的问题。当开启一个FTP连接时，ftp client 端打开两个任意的本地端口P>1024连接服务器的21端口，但与主动方式的FTP不同，ftp client 端不会提交PORT命令并允许ftp server 端来回连它的数据端口，而是提交PASV命令。这样做的结果是ftp server 端会开启一个任意的非特权端口（端口号大于1024），并发送PORT S命令给客户端。然后ftp client 端发起从本地端口P+N到ftp server 端的端口S的连接用来传送数据。

1. ftp client端启用大于1024端口P连接ftp server端口21，通过tcp三次握手建立连接
2. ftp client 端发送PASV请求告诉ftp server 端自己处于被动模式
3. ftp server 端监听端口S>1024，告知ftp client 端
4. ftp client 端用P+N端口和ftp server 端的S端口通过tcp三次握手后开始传输数据

vsftpd安装和配置

介绍完原理我们开始实战。安装一般有rpm安装和源码编译安装，我们选择yum安装，简单快捷。

1. 安装vsftpd

1yum install -y vsftpd
2
3查看目录结构
4rpm -ql vsftpd

2. 启动

1systemctl start vsftpd.service
2systemctl enable vsftpd.service

3. 配置日志

1vim /etc/vsftpd/vsftpd.conf
2# 表明FTP服务器记录上传下载的情况
3xferlog_enable=YES
4# 表明将记录的上传下载情况写在xferlog_file所指定的文件中， 即xferlog_file选项指定的文件中
5xferlog_std_format=YES
6xferlog_file=/var/log/xferlog
7
8
9# 启用双份日志。在用xferlog文件记录服务器上传下载情况的同时，
10# vsftpd_log_file所指定的文件，即/var/log/vsftpd.log也将用来 记录服务器的传输情况
11dual_log_enable=YES
12vsftpd_log_file=/var/log/vsftpd.log

4. 配置主动被动模式

1主动模式：
2connect_from_port_20=YES
3被动模式：
4pasv_enable=YES
5pasv_min_port=60000   #被动模式最小端口
6pasv_max_port=60100   #被动模式最大端口
7
8注意：主动模式和被动模式可以同时配置，也可以只配置一种。但决定使用主动和被动模式的是ftp client。

vsftpd账号设置

vsftpd 匿名账号

Vsftpd默认是以匿名用户访问，匿名用户访问的FTP服务器端路劲为：/var/ftp/pub,匿名用户只有查看权限，无法创建、删除和修改。如果要关闭匿名用户访问，需要修改/etc/vsftpd/vsftpd.conf,将anonymous_enable=YES改为anonymous_enable=NO,重启Vsftp服务即可。

与匿名用户相关的配置：

1#启用匿名用户访问
2anonymous_enable=YES
3
4#允许匿名用户上传文件
5anon_upload_enable=YES
6
7#允许匿名用户创建文件
8anon_mkdir_write_enable=YES
9
10#允许匿名用户其它写入权限
11anon_other_write_enable=YES
12
13#匿名用户上传下载速率
14anon_max_rate=5000000000
15
16#匿名用户上传文件掩码
17anon_umask=022

vsftpd系统账号

匿名用户配置会造成所有都上传、下载、删除和修改的权限，比较危险，对于存放私密文件匿名用户模式不适用。使用vsftpd系统用户方式验证登陆，相对来说比较安全，可以保障文件或目录专属于属主。系统账号即linux系统的账号。

创建虚拟账号并配置：

1#增加账号
2useradd test
3echo 'test123' | passwd --stdin test
4
5#vsftpd配置
6local_enable=YES
7write_enable=YES
8local_umask=022
9

测试

1ftp localhost
2Connected to localhost (127.0.0.1).
3220 (vsFTPd 3.0.2)
4Name (localhost:root): test
5331 Please specify the password.
6Password:
7230 Login successful.
8Remote system type is UNIX.
9Using binary mode to transfer files.
10ftp> dir
11227 Entering Passive Mode (127,0,0,1,109,125).
12150 Here comes the directory listing.
13226 Directory send OK.
14ftp> lcd /etc
15Local directory now /etc
16ftp> put issue
17local: issue remote: issue
18227 Entering Passive Mode (127,0,0,1,220,210).
19150 Ok to send data.
20226 Transfer complete.
2123 bytes sent in 1.7e-05 secs (1352.94 Kbytes/sec)
22ftp> dir
23227 Entering Passive Mode (127,0,0,1,189,222).
24150 Here comes the directory listing.
25-rw-r--r--    1 1000     1000           23 Nov 15 07:55 issue
26226 Directory send OK.
27ftp> pwd
28257 "/home/test"
29ftp> 

vsftpd虚拟账号

linux系统用户太多毕竟不安全，我们只是想要vsftpd软件的用户，因此可以试用虚拟用户来登录vsftpd，多个虚拟用户可以映射到一个非登录的系统用户上。 创建虚拟用户文件，把这些用户名和密码存放在一个文件中。该文件内容格式是：用户名占用一行，密码占一行。

1cd /etc/vsftpd/
2
3cat login.txt 
4testuser
5testuserpass
6
7这个文件的账号密码不能直接被使用，需要使用db_load命令生成密码数据库文件，命令如下：
8db_load -T -t hash -f /etc/vsftpd/login.txt /etc/vsftpd/login.db

虚拟用户相关配置

1
2#启动虚拟用户PAM认证
3pam_service_name=vsftpd 
4#启动虚拟用户
5guest_enable=YES 
6#映射账号到本地的用户test
7guest_username=test 
8#设置虚拟用户的配置文件存放路径
9user_config_dir=/etc/vsftpd/vsftpd_user_conf  
10#虚拟用户使用与本地用户相同的权限
11virtual_use_local_privs=YES 
12#允许上传修改属主
13chown_uploads=YES
14#属主设置为本地用户test
15chown_username=test
16#允许虚拟用户对配置目录有写权限
17allow_writeable_chroot=YES
18#设置虚拟用户上传下载的目录
19local_root=/data/testuser
20

为了使服务器能够使用上述生成的数据库文件，对客户端进行身份验证，需要调用系统的PAM模块。PAM(Plugable Authentication Module)为可插拔认证模块，不必重新安装应用系统，通过修改指定的配置文件，调整对该程序的认证方式。PAM模块配置文件路径为/etc/pam.d/目录，此目录下保存着大量与认证有关的配置文件，并以服务名称命名。

1vim /etc/pam.d/vsftpd   #只有下面三行
2
3#%PAM-1.0
4auth required /lib64/security/pam_userdb.so db=/etc/vsftpd/login 
5account required /lib64/security/pam_userdb.so db=/etc/vsftpd/login 
6

测试

1ftp localhost           
2Connected to localhost (127.0.0.1).
3220 (vsFTPd 3.0.2)
4Name (localhost:root): testuser
5331 Please specify the password.
6Password:
7230 Login successful.
8Remote system type is UNIX.
9Using binary mode to transfer files.
10ftp> dir
11227 Entering Passive Mode (127,0,0,1,100,75).
12150 Here comes the directory listing.
13-rw-r--r--    1 1000     1000           23 Nov 15 08:58 issue
14226 Directory send OK.
15ftp> pwd
16257 "/data/testuser"
17ftp> delete issue
18250 Delete operation successful.

案例

1. 打造企业级ftp

1. 启用SSL证书配置
2. 只允许虚拟账号上传下载，不允许删除文件
3. 账号输入3次密码锁定100s，root每次都锁定

创建证书

1yum install -y openssl
2mkdir /etc/ssl/private
3openssl req -newkey rsa:2048 -nodes -keyout /etc/ssl/private/vsftpd.key -x509 -days 365 -out /etc/ssl/private/vsftpd.crt
4

配置pam认证，账号输入3次密码锁定100s，root每次都锁定

1cat /etc/pam.d/vsftpd
2auth    required    pam_tally2.so    deny=3    unlock_time=100 even_deny_root root_unlock_time=200
3auth [user_unknown=ignore success=ok ignore=ignore default=bad] pam_securetty.so
4
5auth required /lib64/security/pam_userdb.so db=/etc/vsftpd/login
6account required /lib64/security/pam_userdb.so db=/etc/vsftpd/login

配置vsftpd

1anonymous_enable=NO
2anon_upload_enable=NO
3anon_mkdir_write_enable=NO
4
5local_enable=YES
6write_enable=YES
7local_umask=022
8connect_from_port_20=YES
9
10
11
12#设置ftp client 链接限制
13max_clients=10
14max_per_ip=2
15anon_max_rate=0
16local_max_rate=500000
17idle_session_timeout=600
18
19#日志设置
20dirmessage_enable=YES
21xferlog_enable=YES
22xferlog_file=/var/log/xferlog
23xferlog_std_format=YES
24dual_log_enable=YES
25vsftpd_log_file=/var/log/vsftpd.log
26log_ftp_protocol=YES
27
28
29nopriv_user=nobody
30async_abor_enable=YES
31#ascii_upload_enable=YES
32#ascii_download_enable=YES
33chroot_local_user=YES
34ls_recurse_enable=YES
35listen=YES
36
37chown_uploads=YES
38chown_username=test
39guest_enable=YES
40guest_username=test
41virtual_use_local_privs=YES
42allow_writeable_chroot=YES
43pam_service_name=vsftpd
44userlist_enable=YES
45userlist_deny=YES
46tcp_wrappers=YES
47
48# 限制ftp目录
49local_root=/home/test
50
51# 强制ftl走ssl协议
52ssl_enable=YES
53debug_ssl=YES
54ssl_tlsv1=YES
55ssl_tlsv1_2=YES
56ssl_sslv2=YES
57ssl_sslv3=YES
58
59# SSL证书位置
60ca_certs_file=/etc/ssl/private/vsftpd.crt
61rsa_cert_file=/etc/ssl/private/vsftpd.crt
62rsa_private_key_file=/etc/ssl/private/vsftpd.key
63
64# 禁止匿名用使用SSL
65allow_anon_ssl=NO
66force_local_data_ssl=YES
67force_local_logins_ssl=YES
68
69# 加强安全设置
70require_ssl_reuse=NO
71ssl_ciphers=HIGH
72port_enable=NO
73pasv_enable=YES
74# pasv_enable为NO下列2个配置不生效
75pasv_min_port=4000
76pasv_max_port=4500
77
78# 禁止删除，只允许虚拟账号上传下载，不允许删除文件
79cmds_denied=RMD,DELE