linux下vsftp的设置详解

xlfm22

　　
　　知识点：
　　1、FTP使用TCP连接和TCP端口
　　2、在进行通信时，FTP需要建立两个TCP连接：
　　一个用于控制信息，TCP端口号缺省为21
　　一个用于数据传输，TCP端口号缺省为20
　　3、Vsftp是一个基于GPL发布的类Unix系统上的FTP服务器
　　4、其名称中的VS即“Verysecure”的意思，可见安全性高。
　　配置：
　　1、查看是否安装了Vsftp
　　#rpm –qa vsftpd
　　2、安装
　　放入第三张光盘
　　#mount /mnt/cdrom
　　#cd /mnt/cdrom/RedHat/RPMS
　　#rpm –ivh vsftpd-1.1.3-8.i386.rpm
　　#cd;eject
　　3、Vsftp服务启动与停止
　　#service vsftpd start 启动
　　#service vsftpd stop 停止
　　#service vsftpd restart 重启
　　永久启动：＃setup
　　#ps –ax | grep vsftpd 查看进程是否启动。
　　#chkconfig –level 2345 vsftpd on 设置在系统启动时，自动启动进程。
　　4、访问Vsftp
　　进入 ftp 192.168.0.1
　　输入密码进入后：ls 查看 put 上传 get下载
　　离开bye
　　5、配置文件
　　主配置文件 /etc/vsftpd/vsftpd.conf
　　用户控制文件 /etc/vsftpd.ftpusers 作用：指定哪些用户不能访问FTP，相当于一个黑名单
　　主配置文件:
　　option=value
　　要注意的是，等号两边不能加空白，不然是不正确的设定。
　　＝＝＝ascii 设定＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　ascii_download_enable
　　管控是否可用ASCII模式下载。默认值为NO。
　　ascii_upload_enable
　　管控是否可用ASCII模式上传。默认值为NO。
　　＝＝＝个别使用者设定＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　chroot_list_enable
　　如果启动这项功能，则所有的本机使用者登入均可进到根目录之外的数据夹，除了列在/etc/vsftpd.chroot_list之中的使用者之外。默认值为NO。
　　userlist_enable
　　用法：YES/NO
　　若是启动此功能，则会读取/etc/vsftpd.user_list 当中的使用者名称。此项功能可以在询问密码前就出现失败讯息，而不需要检验密码的程序。默认值为关闭。
　　userlist_deny
　　用法：YES/NO
　　这个选项只有在userlist_enable启动时才会被检验。
　　如果将这个选项设为YES，则在/etc/vsftpd.user_list 中的使用者将无法登入，若设为NO，则只有在/etc/vsftpd.user_list中的使用者才能登入。
　　而且此项功能可以在询问密码前就出现错误讯息，而不需要检验密码的程序。
　　user_config_dir
　　定义个别使用者设定文件所在的目录，例如定义user_config_dir=/etc/vsftpd/userconf，且主机上有使用者test1,test2，那我们可以在user_config_dir 的目录新增文件名为test1以及test2。若是test1登入，则会读取user_config_dir下的test1这个档案内的设定。
　　默认值为无。
　　＝＝＝欢迎语设定＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　dirmessage_enable
　　如果启动这个选项，使用者第一次进入一个目录时，会检查该目录下是否有.message这个档案，若是有，则会出现此档案的内容，通常这个档案会放置欢迎话语，或是对该目录的说明。默认值为开启。
　　banner_file
　　当使用者登入时，会显示此设定所在的档案内容，通常为欢迎话语或是说明。默认值为无。
　　ftpd_banner
　　这边可定义欢迎话语的字符串，相较于banner_file是档案的形式，而ftpd_banner是字串的格式。默认值为无。
　　＝＝＝特殊安全设定＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　chroot_local_user
　　如果设定为YES，那么所有的本机的使用者都可以切换到根目录以外的数据夹。默认值值为NO。
　　hide_ids
　　如果启动这项功能，所有档案的拥有者与群组都为ftp，也就是使用者登入使用ls -al之类的指令，所看到的档案拥有者跟群组均为ftp。默认值为关闭。
　　ls_recurse_enable
　　若是启动此功能，则允许登入者使用ls -R 这个指令。默认值为NO。
　　write_enable
　　用法：YES/NO
　　这个选项可以控制FTP的指令是否允许更改file system，譬如STOR、DELE、RNFR、RNTO、MKD、RMD、APPE以及SITE。默认值为关闭。
　　setproctitle_enable
　　用法：YES/NO
　　启动这项功能，vsftpd 会将所有联机的状况已不同的process呈现出来，换句话说，使用ps -ef这类的指令就可以看到联机的状态。默认值为关闭。
　　tcp_wrappers
　　用法：YES/NO
　　如果启动，则会将vsftpd与tcp_wrapper结合，也就是可以在/etc/hosts.allow与/etc/hosts.deny中定义允许或拒绝的来源地址。
　　pam_service_name
　　这边定义PAM所使用的名称，默认值为vsftpd。
　　secure_chroot_dir
　　这个选项必须指定一个空的数据夹且任何登入者都不能有写入的权限，当vsftpd不需要file system的权限时，就会将使用者限制在此数据夹中。默认值为/usr/share/empty。
　　＝＝＝纪录文件设定＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　xferlog_enable
　　用法：YES/NO
　　如果启动，上传与下载的信息将被完整纪录在底下xferlog_file 所定义的档案中。默认值为开启。
　　xferlog_file
　　这个选项可设定纪录文件所在的位置，默认值为/var/log/vsftpd.log。
　　xferlog_std_format
　　如果启动，则纪录文件将会写为xferlog 的标准格式，如同wu-ftpd一般。默认值为关闭。
　　＝＝＝逾时设定＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　accept_timeout
　　接受建立联机的逾时设定，单位为秒。默认值为60。
　　connect_timeout
　　响应PORT方式的数据联机的逾时设定，单位为秒。默认值为60。
　　data_connection_timeout
　　建立数据联机的逾时设定。默认值为300秒。
　　idle_session_timeout
　　发呆的逾时设定，若是超出这时间没有数据的传送或是指令的输入，则会强迫断线，单位为秒。默认值为300秒。
　　＝＝＝速率限制＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　anon_max_rate
　　匿名登入所能使用的最大传输速度，单位为每秒多少bytes，0表示不限速度。默认值为0。
　　local_max_rate
　　本机使用者所能使用的最大传输速度，单位为每秒多少bytes，0表示不限速度。默认值为0。
　　＝＝＝新增档案权限设定＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　anon_umask
　　匿名登入者新增档案时的umask 数值。默认值为077。
　　file_open_mode
　　上传档案的权限，与chmod 所使用的数值相同。默认值为0666。
　　local_umask
　　本机登入者新增档案时的umask 数值。默认值为077。
　　＝＝＝port 设定＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　connect_from_port_20
　　用法：YES/NO
　　若设为YES，则强迫ftp-data 的数据传送使用port 20。默认值为YES。
　　ftp_data_port
　　设定ftp 数据联机所使用的port。默认值为20。
　　listen_port
　　FTP server 所使用的port。默认值为21。
　　pasv_max_port
　　建立资料联机所可以使用port范围的上界，0表示任意。默认值为0。
　　pasv_min_port
　　建立资料联机所可以使用port范围的下界，0表示任意。默认值为0。
　　＝＝＝其它＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　anon_root
　　使用匿名登入时，所登入的目录。默认值为无。
　　local_enable
　　用法：YES/NO
　　启动此功能则允许本机使用者登入。默认值为YES。
　　local_root
　　本机使用者登入时，将被更换到定义的目录下。默认值为无。
　　text_userdb_names
　　用法：YES/NO
　　当使用者登入后使用ls -al 之类的指令查询该档案的管理权时，默认值会出现拥有者的UID，而不是该档案拥有者的名称。若是希望出现拥有者的名称，则将此功能开启。默认值为NO。
　　pasv_enable
　　若是设为NO，则不允许使用PASV 的模式建立数据的联机。默认值为开启。
　　＝＝＝更换档案所有权＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　chown_uploads
　　用法：YES/NO
　　若是启动，所有匿名上传数据的拥有者将被更换为chown_username 当中所设定的使用者。这样的选项对于安全及管理，是很有用的。默认值为NO。
　　chown_username
　　这里可以定义当匿名登入者上传档案时，该档案的拥有者将被置换的使用者名称。默认值为root。
　　＝＝＝guest 设定＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　guest_enable
　　用法：YES/NO
　　若是启动这项功能，所有的非匿名登入者都视为guest。默认值为关闭。
　　guest_username
　　这里将定义guest 的使用者名称。默认值为ftp。
　　＝＝＝anonymous 设定＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　anonymous_enable
　　用法：YES/NO
　　管控使否允许匿名登入，YES 为允许匿名登入，NO 为不允许。默认值为YES。
　　no_anon_password
　　若是启动这项功能，则使用匿名登入时，不会询问密码。默认值为NO。
　　anon_mkdir_write_enable
　　用法：YES/NO
　　如果设为YES，匿名登入者会被允许新增目录，当然，匿名使用者必须要有对上层目录的写入权。默认值为NO。
　　anon_other_write_enable
　　用法：YES/NO
　　如果设为YES，匿名登入者会被允许更多于上传与建立目录之外的权限，譬如删除或是更名。默认值为NO。
　　anon_upload_enable
　　用法：YES/NO
　　如果设为YES，匿名登入者会被允许上传目录的权限，当然，匿名使用者必须要有对上层目录的写入权。默认值为NO。
　　anon_world_readable_only
　　用法：YES/NO
　　如果设为YES，匿名登入者会被允许下载可阅读的档案。默认值为YES。
　　ftp_username
　　定义匿名登入的使用者名称。默认值为ftp。
　　deny_email_enable
　　若是启动这项功能，则必须提供一个档案/etc/vsftpd.banner_emails，内容为email address。若是使用匿名登入，则会要求输入email address，若输入的email address在此档案内，则不允许联机。默认值为NO。
　　＝＝＝Standalone 选项＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　listen
　　用法：YES/NO
　　若是启动，则vsftpd将会以独立运作的方式执行，若是vsftpd独立执行，如RedHat Linux 9的默认值，则必须启动；若是vsftpd包含在xinetd之中，则必须关闭此功能，如RedHat Linux 8。在RedHat Linux 9中默认值为YES。
　　listen_address
　　若是vsftpd 使用standalone 的模式，可使用这个参数定义使用哪个IP address提供这项服务，若是主机上只有定义一个IP address，则此选项不需使用，若是有多个IP address，可定义在哪个IP address上提供ftp服务。若是不设定，则所有的IP address均会提供此服务。默认值为无。
　　max_clients
　　若是vsftpd使用standalone的模式，可使用这个参数定义最大的总联机数。超过这个数目将会拒绝联机，0表示不限。默认值为0。
　　max_per_ip
　　若是vsftpd使用standalone的模式，可使用这个参数定义每个ip address所可以联机的数目。超过这个数目将会拒绝联机，0表示不限。默认值为0。
　　实验一、设置Chroot——用户不能切换目录
　　因为默认情况下是可以切换目录的，所以是很不安全的。。
　　1、限制所有用户不能切换目录
　　chroot_local_user=YES
　　2、设置指定的用户不能切换目录
　　chroot_local_user=NO
　　chroot_list_enable=YES
　　chroot_list_file=/etc/vsftpd.chroot_list
　　实验二、用Vsftp.user_list访问控制
　　利用/etc/vsftpd.user_list
　　A、设置在/etc/vsftpd.user_list文件中用户不能访问，其它用户可以访问
　　userlist_enable=YES
　　userlist_deny=YES
　　
　　userlist_file=/etc/vsftpd.user_list
　　B、设置在/etc/vsftpd.user_list文件中的用户能访问国，其它用户不可以访问。
　　userlist_enable=YES
　　userlist_deny=NO
　　userlist_file=/etc/vsftpd.user_list
　　实验三、简单虚拟用户
　　让abc用户不能登录系统，只能登入FTP
　　#adduser –g ftp –s /sbin/nologin abc
　　#passwd abc