Linux操作文档——FTP文件传输服务

---

一、基本概念

1、FTP连接及传输模式

FTP服务器默认使用TCP协议的20、21端口与客户端进行通信。20端口用于建立数据连接，并传输文件数据；21端口用于建立控制连接，并传输FTP控制命令。

2、用户列表文件ftpusers和user_list

ftpusers文件：此文件中列出的用户将禁止登录vsftpd服务器，不管该用户是否在user_list 文件中出现。该文件默认包括root、bin、daemon等用于系统运行的特殊用户。
user_list文件：此文件中包含的用户可能被禁止登录，也可能被允许登录，具体取决于主配置文件vsftpd.conf中的设置。当存在"userlist_enable=YES"的配置项时，user_list列表文件方可生效；若定"userlist_deny=YES",则仅禁止此列表中的用户登录；若指定 “userlist_deny=NO”,则仅允许列表中的用户登录。

二、基于系统用户的FTP服务

[root@localhost ~]# yum -y install vsftpd                 //安装vsftp服务
[root@localhost ~]# systemctl enable vsftpd
Created symlink from /etc/systemd/system/multi-user.target.wants/vsftpd.service to /usr/lib/systemd/system/vsftpd.service.
[root@localhost ~]# systemctl start vsftpd
[root@localhost ~]# setenforce 0                 //关闭安全服务

1、匿名访问的FTP服务

[root@localhost ~]# tar zcf /var/ftp/vsftpdconf.tar.gz /etc/vsftpd/                 //创建测试文件
[root@localhost ~]# chown ftp /var/ftp/pub/                 //使匿名用户ftp对该目录拥有写入权限
[root@localhost ~]# chmod 755 /var/ftp/pub/
[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf                  //开放匿名用户配置
anonymous_enable=YES                 //是否允许匿名访问
local_enable=NO                 //不启用本地用户
write_enable=YES                 //开放服务器的写权限
local_umask=022                 //设置匿名用户所上传文件的默认权限掩码值
anon_upload_enable=YES                 //是否允许匿名用户上传文件
anon_mkdir_write_enable=YES                 //是否允许匿名用户有创建目录的写入权限
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=YES
listen_ipv6=NO
pam_service_name=vsftpd
userlist_enable=YES                 //启用本用户列表
tcp_wrappers=YES
[root@localhost ~]# systemctl restart vsftpd                 //重启vsftpd服务
[root@localhost ~]# netstat -anpt | grep vsftpd
tcp        0      0 0.0.0.0:21              0.0.0.0:*               LISTEN      51154/vsftpd   

windows主机操作

Linux操作：

[root@localhost ~]# yum -y install ftp
[root@localhost ~]# ftp 192.168.1.10
Connected to 192.168.1.10 (192.168.1.10).
220 (vsFTPd 3.0.2)
Name (192.168.1.10:root): ftp                    //用户名为ftp或anonymous
331 Please specify the password.
Password:                 //密码可任意输入，或直接按Enter键
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls                 //查看FTP服务器中的内容
227 Entering Passive Mode (192,168,1,10,50,169).
150 Here comes the directory listing.
drwxr-xr-x    2 14       0               6 Apr 01 04:55 pub
-rw-r--r--    1 0        0            2825 Jun 26 08:32 vsftpdconf.tar
-rw-r--r--    1 0        0            2825 Jun 26 08:32 vsftpdconf.tar.gz
226 Directory send OK.
ftp> lcd /opt                 //将本地目录切换到/opt/
Local directory now /opt
ftp> get vsftpdconf.tar.gz                 //将文件下载到本地（/opt/目录）
local: vsftpdconf.tar.gz remote: vsftpdconf.tar.gz
227 Entering Passive Mode (192,168,1,10,112,156).
150 Opening BINARY mode data connection for vsftpdconf.tar.gz (2825 bytes).
226 Transfer complete.
2825 bytes received in 2e-05 secs (141250.00 Kbytes/sec)
ftp> lcd /root                 //将本地目录切换到/root/
Local directory now /root
ftp> cd pub                 //将FTP目录切换到/pub/
250 Directory successfully changed.
ftp> put initial-setup-ks.cfg                  //将文件上传到服务器(/pub/目录）
local: initial-setup-ks.cfg remote: initial-setup-ks.cfg
227 Entering Passive Mode (192,168,1,10,143,15).
150 Ok to send data.
226 Transfer complete.
1797 bytes sent in 0.000324 secs (5546.30 Kbytes/sec)
ftp> ls                 //查看所上传文件的权限
227 Entering Passive Mode (192,168,1,10,67,123).
150 Here comes the directory listing.
-rw-------    1 14       50           1797 Jun 26 08:53 initial-setup-ks.cfg
226 Directory send OK.
ftp> quit                 //断开ftp连接并退出
221 Goodbye.

如果已经知道要下载文件的完整URL地址的情况下，也可以

[root@localhost ~]# wget ftp://192.168.1.10/vsftpdconf.tar.gz
--2020-06-26 17:26:31--  ftp://192.168.1.10/vsftpdconf.tar.gz
           => “vsftpdconf.tar.gz”
正在连接 192.168.1.10:21... 已连接。
正在以 anonymous 登录 ... 登录成功！
==> SYST ... 完成。   ==> PWD ... 完成。
==> TYPE I ... 完成。 ==> 不需要 CWD。
==> SIZE vsftpdconf.tar.gz ... 2825
==> PASV ... 完成。   ==> RETR vsftpdconf.tar.gz ... 完成。
长度：2825 (2.8K) (非正式数据)

100%[====================================================================>] 2,825       --.-K/s 用时 0s      

2020-06-26 17:26:31 (688 MB/s) - “vsftpdconf.tar.gz” 已保存 [2825]

2、用户验证的FTP服务

1、基本的本地用户验证
修改vsftp配置文件

[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf
anonymous_enable=YES
local_enable=YES                 //启用本地用户
write_enable=YES
local_umask=077                 //仅属主用户拥有权限
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
chroot_local_user=YES                 //将FTP本地用户禁锯在宿主目录中
listen=NO
listen_ipv6=YES
allow_writeable_chroot=YES                 //允许被限制用户的主目录具有写权限
pam_service_name=vsftpd
userlist_enable=YES
tcp_wrappers=YES

用户lisi登录到FTP服务器192.168.1.10，并进行上传文件测试

[root@localhost ~]# ftp 192.168.1.10
Connected to 192.168.1.10 (192.168.1.10).
220 (vsFTPd 3.0.2)
Name (192.168.1.10:root): lisi                 //以lisi用户登录
331 Please specify the password.
Password:                 //以lisi用户的密码验证
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> put uptest.txt                  //将文件上传到服务器
local: uptest.txt remote: uptest.txt
227 Entering Passive Mode (192,168,1,10,74,192).
150 Ok to send data.
226 Transfer complete.
122 bytes sent in 5e-05 secs (2440.00 Kbytes/sec)
ftp> ls                 //查看上传文件的权限
227 Entering Passive Mode (192,168,1,10,207,245).
150 Here comes the directory listing.
-rw-------    1 1000     1000          122 Jun 26 09:41 uptest.txt
226 Directory send OK.
ftp> quit
221 Goodbye.

2、使用user_list用户列表文件

[root@localhost ~]# vim /etc/vsftpd/user_list                 //编辑用户列表
lisi
wangwu
zhangliu
[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf
userlist_enable=YES                 //启用user_list用户列表文件
userlist_deny=NO                 //不禁用user_list列表中的用户
[root@localhost ~]# systemctl restart vsftpd                 //重新加载配置

3、vsftpd服务的其他常用配置
（1）修改vsftpd服务的监听地址、端口

[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf
listen=YES                 //允许独立监听服务
listen_address=192.168.1.10                 //只在一个接口监听服务
listen_port=2121                 //监听端口改为2121
listen_ipv6=NO
[root@localhost ~]# systemctl restart vsftpd  
[root@localhost ~]# netstat -anpt | grep vsftpd
tcp        0      0 192.168.1.10:2121       0.0.0.0:*               LISTEN      51996/vsftpd    

（2）允许使用FTP服务器的被动模式

[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf
pasv_min_port=24500                 //指定被动模式的下限端口
pasc_max_port=24600                 //指定被动模式的上限端口
#pasv_enable=NO                 //禁用被动模式（版本默认幵启）
[root@localhost ~]# systemctl restart vsftpd  

（3）限制FTP连接的并发数、传输速度

[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf
max_clients=20                 //限制并发客户连接最多20个
max_per_ip=2                 //限制每个IP地址的连接数最多两个
local_max_rate=200000                 //限制本地用户传输速率为200kB/s
[root@localhost ~]# systemctl restart vsftpd  

三、基于虚拟用户的FTP服务

1、建立虚拟用户的账号数据库

1.、创建文本格式的用户名/密码列表

[root@localhost ~]# vim /etc/vsftpd/vusers.list
mike
123
john
456

2、创建Berkeley DB格式的数据库文件

[root@localhost ~]# cd /etc/vsftpd/
[root@localhost vsftpd]# db_load -T -t hash -f vusers.list vusers.db
[root@localhost vsftpd]# file vusers.db 
vusers.db: Berkeley DB (Hash, version 9, native byte-order)
[root@localhost vsftpd]# chmod 600 /etc/vsftpd/vusers.*
[root@localhost vsftpd]# ls -lh /etc/vsftpd/vusers.*
-rw-------. 1 root root 12K 6月  26 18:54 /etc/vsftpd/vusers.db
-rw-------. 1 root root  18 6月  26 18:53 /etc/vsftpd/vusers.list

3、添加虚拟用户的映射账号、创建FTP根目录

[root@localhost ~]# useradd -d /var/ftproot -s /sbin/nologin virtual
[root@localhost ~]# chmod 755 /var/ftproot/

2、为vsftpd服务添加虚拟用户支持

1、为虚拟用户建立PAM认证文件

[root@localhost ~]# vim /etc/pam.d/vsftpd.vu
#%PAM-1.0
auth     required  pam_userdb.so db=/etc/vsftpd/vusers
account  required  pam_userdb.so db=/etc/vsftpd/vusers

2、修改vsftpd配置，添加虚拟用户支持

[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf
anonymous_enable=NO
local_enable=YES                 //启用本地用户（映射本地用户）
write_enable=YES                 //启用上传写入支持
local_umask=022
anon_umask=022                 //指定上传权限掩码
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=YES
listen_ipv6=NO
allow_writeable_chroot=YES
pam_service_name=vsftpd.vu                 //指定新的PAM认证文件
tcp_wrappers=YES
guest_username=virtual                 //指定映射的系统用户名称
guest_enable=YES
user_config_dir=/etc/vsftpd/vusers_dir                 //指定用户独立配置文件

3、为不同的虚拟用户建立独立的配置文件

[root@localhost ~]# mkdir /etc/vsftpd/vusers_dir                 //创建用户配置文件夹
[root@localhost ~]# cd /etc/vsftpd/vusers_dir/
[root@localhost vusers_dir]# vim john                 //为用户john建立独立的配置文件
anon_upload_enable=YES                 //允许上传文件
anon_mkdir_write_enable=YES                 //允许创建目录
[root@localhost vusers_dir]# touch mike                 //用户mike只有默认的权限
[root@localhost ~]# systemctl restart vsftpd

四、使用SSL证书加密数据传输FTP

1、使用OpenSSL生成自签证书

[root@localhost ~]# openssl req -new -x509 -nodes -out vsftpd.pem -keyout vsftpd.pem -days 3650
Generating a 2048 bit RSA private key
..+++
..................................+++
writing new private key to 'vsftpd.pem'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:ZH                 //国家
State or Province Name (full name) []:BJ                 //省
Locality Name (eg, city) [Default City]:CP                 //市
Organization Name (eg, company) [Default Company Ltd]:CSDN                 //机构
Organizational Unit Name (eg, section) []:CSDN                 //部门
Common Name (eg, your name or your server's hostname) []:CSDN.COM                 //域名
Email Address []:[email protected]                 //邮箱

参数	说明
req	是 X.509（CSR，证书签名请求）管理的一个命令
x509	X.509 证书数据管理
days	定义证书的有效日期
newkey	指定证书密钥处理器
keyout	设置密钥存储文件
out	设置证书存储文件（证书和密钥都保存在一个相同的文件）

2、创建证书文件存放目录

[root@localhost ~]# mkdir /etc/vsftpd/.sslkey
[root@localhost ~]# cp vsftpd.pem /etc/vsftpd/.sslkey/
[root@localhost ~]# chmod 400 /etc/vsftpd/.sslkey/vsftpd.pem 

3、修改配置文件，支持SSL

[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf
......
listen=YES
# config ssl
#启用SSL支持
ssl_enable=YES
allow_anon_ssl=NO
#强制匿名用户使用加密登陆和数据传输
force_local_data_ssl=YES
force_local_logins_ssl=YES
force_anon_logins_ssl=YES
force_anon_data_ssl=YES
#指定vsftpd支持TLS v1
ssl_tlsv1=YES
#指定vsftpd支持SSL v2
ssl_sslv2=NO
#指定vsftpd支持SSL v3
ssl_sslv3=NO
#不重用SSL会话，安全配置项
require_ssl_reuse=NO
#允许用于加密SSL连接的SSL算法
ssl_ciphers=HIGH
#定义SSL证书和密钥文件的位置
rsa_cert_file=/etc/vsftpd/.sslkey/vsftpd.pem
rsa_private_key_file=/etc/vsftpd/.sslkey/vsftpd.pem
......
[root@localhost ~]# systemctl restart vsftpd

注意：上面的配置项不要添加到vsftpd.conf 文件最后,否则启动报错