Centos 安装FTP配置目录权限，iptables设置ftp服务

56650

CentOS 安装vsftpd，设置Iptables 限制用户访问自己目录
安装好vsftpd后，打开配置文件：
[iyunv@hexuweb101 ~]$vi /etc/vsftpd/vsftpd.conf

1	[iyunv@hexuweb101 ~]$vi /etc/vsftpd/vsftpd.conf

把下面几行注释去掉，让其配置生效：
local_enable=YESwrite_enable=YESlocal_umask=022chroot_local_user=YES      #这行可能需自己写pam_service_name=vsftpduserlist_enable=YES

1 2 3 4 5 6

local_enable=YES write_enable=YES local_umask=022 chroot_local_user=YES      #这行可能需自己写 pam_service_name=vsftpd userlist_enable=YES

配置保存后重启vsftpd服务：
[iyunv@hexuweb101 ~]$service vsftpd restart

1	[iyunv@hexuweb101 ~]$service vsftpd restart

接下来添加本地用户w1(用户目录设置成网站目录)：
[iyunv@hexuweb101 ~]$useradd –d /var/www/html/w1 w1

1	[iyunv@hexuweb101 ~]$useradd –d /var/www/html/w1 w1

把网站目录权限的拥有者改为w1：
[iyunv@hexuweb101 ~]$chown –R w1 /var/www/html/w1

1	[iyunv@hexuweb101 ~]$chown –R w1 /var/www/html/w1

这样的话，基本的vsftpd服务配置好了。
但是这样配置完成后客户端并不能连接上，主要应该是默认防火墙设置下,CentOS的防火墙是不开放ftp服务的，需要添加模块和开放21端口才能提供ftp访问。
1.添加ip_conntrack_ftp 模块
[iyunv@hexuweb101 ~] vi /etc/sysconfig/iptables-config

1	[iyunv@hexuweb101 ~] vi /etc/sysconfig/iptables-config

添加下面一行
IPTABLES_MODULES="ip_conntrack_ftp"

1	IPTABLES_MODULES="ip_conntrack_ftp"

2.打开21端口
[iyunv@hexuweb101 ~] vi /etc/sysconfig/iptables

1	[iyunv@hexuweb101 ~] vi /etc/sysconfig/iptables

CentOS 5.x版本添加如下规则
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT

1	-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT

CentOS 6.x版本添加如下规则
-A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT

1	-A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT

3.重启iptables使新的规则生效
[iyunv@hexuweb101 ~] service iptables restart

1	[iyunv@hexuweb101 ~] service iptables restart

4. 检查iptables 是否正常
[iyunv@hexuweb101 ~]$service iptables statusnum  target     prot opt source               destination         1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           icmp type 255 3    ACCEPT     esp  --  0.0.0.0/0            0.0.0.0/0           4    ACCEPT     ah   --  0.0.0.0/0            0.0.0.0/0           5    ACCEPT     udp  --  0.0.0.0/0            224.0.0.251         udp dpt:5353 6    ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:631 7    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:631 8    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 9    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22 10   ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:21......

1 2 3 4 5 6 7 8 9 10 11 12 13

[iyunv@hexuweb101 ~]$service iptables status num  target     prot opt source               destination          1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           icmp type 255 3    ACCEPT     esp  --  0.0.0.0/0            0.0.0.0/0            4    ACCEPT     ah   --  0.0.0.0/0            0.0.0.0/0            5    ACCEPT     udp  --  0.0.0.0/0            224.0.0.251         udp dpt:5353 6    ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:631 7    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:631 8    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 9    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22 10   ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:21 ......

从结果上来看ftp的21号端口已打开，可以使用FTP软件登陆测试了。
另外说明一下，如果端口号20也没有打开的朋友，请使用命令：
[iyunv@hexuweb101 ~]$iptables -A INPUT -p tcp --dport 20 -j ACCEPT

1	[iyunv@hexuweb101 ~]$iptables -A INPUT -p tcp --dport 20 -j ACCEPT

这时ftp连接已经可以，为了保险起见我们把被动模式连接的端口也打开：
[iyunv@hexuweb101 ~]$iptables -A INPUT -p tcp --dport 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT

1	[iyunv@hexuweb101 ~]$iptables -A INPUT -p tcp --dport 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT

软件测试连接过程中，在用户验证的时候出现了错误503，应该是selinux设置的问题：
[iyunv@hexuweb101 ~]$ getsebool -a |grep ftpallow_ftpd_anon_write --> offallow_ftpd_full_access --> offallow_ftpd_use_cifs --> offallow_ftpd_use_nfs --> offallow_tftp_anon_write --> offftp_home_dir --> offftpd_connect_db --> offftpd_disable_trans --> offftpd_is_daemon --> onhttpd_enable_ftp_server --> offtftpd_disable_trans --> off

1 2 3 4 5 6 7 8 9 10 11 12

[iyunv@hexuweb101 ~]$ getsebool -a |grep ftp allow_ftpd_anon_write --> off allow_ftpd_full_access --> off allow_ftpd_use_cifs --> off allow_ftpd_use_nfs --> off allow_tftp_anon_write --> off ftp_home_dir --> off ftpd_connect_db --> off ftpd_disable_trans --> off ftpd_is_daemon --> on httpd_enable_ftp_server --> off tftpd_disable_trans --> off

该问题其实在红帽RHCE考试中会遇到，selinux是必考的内容，我们只要打开ftp_home_dir的值开启为on：
[iyunv@hexuweb101 ~]$setsebool -P ftp_home_dir 1

1	[iyunv@hexuweb101 ~]$setsebool -P ftp_home_dir 1

为了避免麻烦，我直接把allow_ftpd_full_access也一同开启：
[iyunv@hexuweb101 ~]$setsebool -P allow_ftpd_full_access 1

1	[iyunv@hexuweb101 ~]$setsebool -P allow_ftpd_full_access 1

这样客户端连接正常了，上传一个文件试试，改变目录，改变文件权限，都没有问题了。
到此CentOS下安装vsftpd就完成了。
开通ftp帐户后，将用户(一般指虚拟用户)限制在自家目录：
修改配置文件中,这样用户就只能访问自己家的目录了:
# 上面刚开始配置已经提到[iyunv@hexuweb101 ~]$vi /etc/vsftpd/vsftpd.confchroot_local_user=YES

1 2 3

# 上面刚开始配置已经提到 [iyunv@hexuweb101 ~]$vi /etc/vsftpd/vsftpd.conf chroot_local_user=YES

如果只想某些用户仅能访问自己的目录,其它用户不做这个限制,那么就需要在chroot_list文件(此文件一般是在/etc/vsftpd/中)中添加此用户.
编辑此文件,比如将test用户添加到此文件中,那么将其写入即可.一般的话,一个用户占一行.
[iyunv@localhost ~]# cat /etc/vsftpd/chroot_listftpuser

1 2	[iyunv@localhost ~]# cat /etc/vsftpd/chroot_list ftpuser